Wie funktioniert ein Audit? Die 7 Prinzipien und der Audit-Lebenszyklus

Viele verbinden mit „Audit“ eine Prüfung, bei der jemand Fehler sucht. Das greift zu kurz. Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess, um objektive Nachweise zu sammeln und zu bewerten, wie gut etwas die festgelegten Kriterien erfüllt. Es geht nicht ums Erwischen, sondern ums belastbare Bild.

Drei Begriffe, die alles tragen

• Auditkriterien: der Maßstab, z. B. die Norm, eigene Richtlinien oder gesetzliche Vorgaben.
• Auditnachweis: die Fakten, Dokumente, Aufzeichnungen, Aussagen, Beobachtungen.
• Auditfeststellung: das Ergebnis des Abgleichs von Nachweis gegen Kriterium (konform oder nicht).

Die sieben Prinzipien jedes seriösen Audits

Die Methodik für Managementsystem-Audits ist in ISO 19011:2026 beschrieben. Sieben Prinzipien leiten jeden Auditor:

• Integrität, professionelle Vertrauenswürdigkeit und Ehrlichkeit.
• Faire Darstellung, wahrheitsgemäß und genau berichten, auch Unbequemes.
• Berufliche Sorgfalt, mit angemessener fachlicher Beurteilung arbeiten.
• Vertraulichkeit, sensibler Umgang mit allen Audit-Informationen.
• Unabhängigkeit, unparteiisch sein, Interessenkonflikte vermeiden.
• Faktengestützter Ansatz, Schlüsse nur auf Basis von Nachweisen (Stichprobe).
• Risikobasierter Ansatz, den Auditfokus dort setzen, wo das Risiko am größten ist.

Ein Audit beweist nie „alles ist perfekt“. Es bewertet anhand von Stichproben, ob das System nachweislich funktioniert, ehrlich und risikoorientiert.

Erst-, Zweit- oder Drittpartei?

• Erstparteien-Audit (intern): Die Organisation auditiert sich selbst, Pflicht in jedem Managementsystem.
• Zweitparteien-Audit: Ein Kunde auditiert seinen Lieferanten (Lieferantenaudit).
• Drittparteien-Audit: Eine unabhängige Zertifizierungsstelle auditiert mit dem Ziel der Zertifizierung.

Der Audit-Lebenszyklus

Egal welche Art, der Ablauf folgt demselben Muster:

• Anstoß & Planung: Ziel, Umfang, Kriterien und Auditprogramm festlegen.
• Vorbereitung: Dokumente sichten, Auditplan und Prüflisten erstellen.
• Durchführung: Eröffnungsgespräch, Nachweise sammeln (Befragung, Beobachtung, Dokumente), Stichproben ziehen.
• Bericht: Feststellungen klassifizieren, Auditbericht erstellen, Abschlussgespräch.
• Abschluss & Follow-up: Korrekturmaßnahmen verfolgen und ihre Wirksamkeit prüfen.

Gerade der letzte Schritt entscheidet über den Nutzen: Ein Audit, dessen Feststellungen niemand abarbeitet, war vergeudete Zeit. Deshalb gehört die Wirksamkeitskontrolle der Maßnahmen untrennbar dazu.

Aktuell: Was die ISO-19011-Revision 2026 ändert

Im Mai 2026 hat die ISO die vierte Ausgabe veröffentlicht. ISO 19011:2026 ersetzt die Fassung von 2018 und ist eine technische Revision: Die Grundprinzipien bleiben, die Leitlinien wurden an die heutige Auditpraxis angepasst. Weil ISO 19011 ein Leitfaden und keine Anforderungsnorm ist, gibt es keine Übergangsfrist, man wird nicht danach zertifiziert, sollte sein Auditprogramm und die Qualifizierung interner Auditoren aber zeitnah anpassen. Unabhängig davon ist im September 2026 auch die neue ISO 9001:2026 erschienen.

Als Hauptänderungen nennt das Vorwort die Remote-Auditmethoden und den erweiterten Anhang A. Im Normtext kommen weitere Neuerungen hinzu:

• Remote-Auditmethoden: Die Leitlinien aus ISO/IEC TS 17012 sind in die Norm eingeflossen, die Remote-Auditmethode ist jetzt ein eigener Begriff (3.4), und Anhang A behandelt Remote-Methoden und virtuelle Standorte ausführlicher. Ob vor Ort, remote oder kombiniert auditiert wird, hängt unter anderem vom Risiko für die Auditziele, vom Vertrauen zwischen Auditor und Auditierten und von regulatorischen Vorgaben ab.
• Neue Gliederung der Prinzipien: Die sieben Auditprinzipien stehen jetzt als eigene Unterabschnitte 4.2 bis 4.8.
• Audit der Lieferkette: Abschnitt A.12 ist deutlich ausgebaut, vor allem zu Zweitparteien-Audits bei Lieferanten, etwa vor Vertragsabschluss, zur laufenden Überwachung oder anlassbezogen nach einem Ausfall in der Lieferkette.
• Neue Technologien in der Auditorkompetenz: Die Norm nennt jetzt ausdrücklich neue Technologien, sowohl als Werkzeug im Audit, etwa KI-gestützte Auswertungen, als auch als Gegenstand der auditierten Prozesse.
• Risikobasierte Auditplanung: Ein neuer Satz in 6.3.2.1 nennt Beispiele, woran sich der Auditfokus ausrichten kann, etwa Komplexität, Kundenbeschwerden, frühere Feststellungen und Änderungen im regulatorischen oder betrieblichen Umfeld.

Für mich bestätigt die Revision, was in der Praxis längst gilt: Remote- und KI-gestützte Audits gehören dazu, sauber gemacht, mit Blick auf Datensicherheit und Nachweisqualität.