Maßnahmen nach einem SMETA-Audit planen und belastbar nachweisen

Maßnahmen nach einem SMETA-Audit sollten als strukturierter Prozess zur Bearbeitung von Auditfeststellungen gesteuert werden – nicht als administrative Ergänzung des Berichts. Zunächst sind Umfang und Risiko jeder Feststellung zu bewerten. Danach gilt es, Beschäftigte vor weiteren Auswirkungen zu schützen, die Ursachen des Problems zu beseitigen und die tatsächliche Umsetzung der Veränderung nachvollziehbar zu dokumentieren. Für den Abschluss einer Feststellung ist eine gesonderte Wirksamkeitsprüfung erforderlich: Eine erledigte Aufgabe beweist noch nicht, dass das Problem nicht erneut auftritt. Ein belastbarer Prozess verbindet deshalb Ursachenanalyse, eindeutig zugewiesene Verantwortung, Nachweise aus dem laufenden Betrieb und eine möglichst unabhängige Ergebnisprüfung.

Der Auditbericht ist der Ausgangspunkt

Ein SMETA-Bericht ist keine Liste nachzureichender Dokumente, sondern der Ausgangspunkt für die systematische Bearbeitung von Auditfeststellungen. Eine unmittelbare Korrektur beseitigt zunächst die festgestellte Auswirkung, beispielsweise durch Berichtigung eines fehlerhaften Arbeitszeitnachweises oder Ergänzung eines fehlenden Schulungsnachweises. Eine Korrekturmaßnahme muss dagegen an der Ursache ansetzen und das Wiederholungsrisiko reduzieren – etwa durch Änderungen bei Planung, Verantwortlichkeiten, Kontrollen oder Überwachungsregeln. Ein korrigiertes Dokument allein belegt noch nicht, dass der Mechanismus hinter der Feststellung beherrscht wird.

Vor der Maßnahmenplanung müssen die Fakten und die Grenzen des Problems bestätigt werden. Die Analyse sollte zeigen, welcher Prozess, Standort, Zeitraum und welche Beschäftigtengruppe betroffen sind, wie groß das Ausmaß ist und ob das Problem auch außerhalb der im Audit untersuchten Stichprobe besteht. Maßgeblich bleiben der Wortlaut des Berichts, die Klassifizierung der Feststellung und die in der Auditdokumentation genannten Fristen. Der Reaktionsumfang ist jedoch anhand aller potenziell betroffenen Standorte, Verträge, Prozesse oder Beschäftigtengruppen zu prüfen. Dasselbe Vorgehen ist erforderlich, wenn ein Unternehmen klärt, wie es sich auf ein Second-Party-Audit bei einem Schlüssellieferanten vorbereitet.

Eine Feststellung zu einem einzelnen Vertrag sollte beispielsweise nicht nur zur Korrektur dieses Dokuments führen. Zu prüfen sind auch weitere Verträge desselben Typs, die Erstellung der Vorlagen, die Freigabe von Abweichungen sowie die regelmäßige Kontrolle der Personalakten. Eine Feststellung kann mehrere koordinierte Maßnahmen auslösen. Separate Maßnahmenpläne sind jedoch nicht immer erforderlich, wenn eine gemeinsame Ursache und ein verantwortlicher Prozesseigner eine gebündelte Steuerung rechtfertigen.

Die Auslegung der Feststellung sollte vom Prozesseigner gemeinsam mit den Verantwortlichen des betroffenen Bereichs bestätigt werden. Bei wesentlichen Auswirkungen auf Beschäftigte, Compliance oder die Betriebsfortführung sollte außerdem das zuständige Mitglied der Leitung einbezogen werden. Der Managementbeauftragte oder Auditkoordinator kann das Register führen, Fristen überwachen und die Schlüssigkeit der Nachweise prüfen. Er sollte jedoch nicht die Verantwortung für die Prozessänderung übernehmen. Maßnahmenverantwortlich muss eine Person sein, die Arbeitsorganisation, Überwachungsregeln, Ressourcen oder Rahmenbedingungen der Zusammenarbeit tatsächlich verändern darf.

Darüber hinaus ist zwischen der Antwort an den Kunden beziehungsweise über die Plattform und dem internen Verbesserungsprozess zu unterscheiden. Die externe Rückmeldung muss sich präzise auf die Feststellung und die geforderte Frist beziehen. Die interne Analyse kann eine breitere Stichprobe, weitere Standorte und zusätzliche Schutzmaßnahmen umfassen. Ihr Umfang entscheidet darüber, ob das Unternehmen nur ein einzelnes Symptom beseitigt oder das Wiederholungsrisiko tatsächlich reduziert.

Zuerst das Risiko, dann der Terminplan

Die Priorisierung nach einem SMETA-Audit sollte sich am sozialen Risiko orientieren – nicht daran, wie einfach sich Unterlagen zusammenstellen lassen. Für jede Feststellung sind die mögliche Schwere des Schadens, die Zahl der betroffenen Personen, die Dauer des Problems, die Umkehrbarkeit seiner Folgen und die Wahrscheinlichkeit weiterer Verstöße zu bewerten. Besteht die Gefährdung fort oder werden Arbeitnehmerrechte weiterhin beeinträchtigt, haben das Stoppen der Praxis beziehungsweise des Prozesses und geeignete Schutzmaßnahmen Vorrang. Die vollständige Ursachenanalyse kann später abgeschlossen werden; der Schutz der Menschen darf dadurch jedoch nicht verzögert werden.

Der Maßnahmenplan sollte zwischen Sofortmaßnahme, Korrektur des konkreten Falls, ursachenbezogener Korrekturmaßnahme und systemischer Lösung für den übergeordneten Prozess unterscheiden. Jede dieser Ebenen verfolgt einen anderen Zweck und benötigt eigene Fristen und Nachweise. Besteht der Verdacht auf eine fehlerhafte Arbeitszeitabrechnung, ist zunächst das fehlerhafte Abrechnungsverfahren zu stoppen. Anschließend sind die Zahl der betroffenen Personen und der relevante Zeitraum zu bestimmen, die Abrechnungen zu korrigieren und danach Planung, Freigabe und Kontrolle anzupassen. Als Entscheidungsgrundlagen können insbesondere Arbeitszeitaufzeichnungen, Entgeltabrechnungen, Verträge, Beschwerden, Gespräche mit Beschäftigten und Arbeitsschutzunterlagen dienen.

Vor der Freigabe der Reaktion ist zu prüfen, ob sie den für die jeweilige Feststellung relevanten Anforderungen entspricht. Dies betrifft insbesondere Arbeitsrecht, Arbeitsschutz, Arbeitszeiterfassung, Vergütung, Datenschutz und Beschäftigungsbedingungen. Der Prüfungsumfang hängt vom jeweiligen Sachverhalt ab. Ein mit dem Kunden vereinbarter Zeitplan ersetzt keine gesetzlichen Pflichten und rechtfertigt nicht die Fortführung einer Praxis, durch die Beschäftigte gefährdet werden.

Der Umsetzungstermin muss die Vorgaben aus Bericht, Plattform, Kundenanforderung oder genehmigtem Maßnahmenplan ebenso berücksichtigen wie Ressourcen, Abhängigkeiten und die für die Wirksamkeitsprüfung erforderliche Zeit. Droht eine Fristüberschreitung, sollte der Kunde noch vor Ablauf der Frist über die Ursachen und die bereits umgesetzten Schutzmaßnahmen informiert werden. Das verzögerte Stoppen einer kritischen Praxis, die Beschränkung der Analyse auf nur einen Standort oder ein Terminversprechen ohne Machbarkeitsprüfung erhöhen Kosten und Reaktionsrisiken. Eine klare Übergabe der Verantwortung ist dabei ebenso wichtig wie im Prozess zur Einarbeitung eines neuen Qualitätsingenieurs oder ISO-Managementbeauftragten.

Der Maßnahmenplan muss aus der Ursache abgeleitet sein

Der Maßnahmenplan sollte auf einer präzisen Problembeschreibung basieren und nicht nur auf der im SMETA-Bericht zugeordneten Kategorie. Die Beschreibung muss die relevante Anforderung, den festgestellten Ist-Zustand, den Ort beziehungsweise Bereich, das Ausmaß und den objektiven Nachweis benennen. Die Formulierung „Das Verfahren wurde nicht eingehalten“ erklärt nicht, wer unter welchen Bedingungen und mit welchen Folgen falsch gehandelt hat. Eine belastbare Beschreibung nennt den Prozess, die Beschäftigtengruppe, den Zeitraum oder Standort sowie die Abweichung zwischen Soll- und Ist-Zustand. Außerdem sollte sie einen messbaren Ausgangswert festlegen. Andernfalls beruht die spätere Wirksamkeitsbewertung auf Aussagen statt auf einem Ergebnisvergleich.

Die Ursachenanalyse darf nicht mit dem Hinweis auf menschliches Versagen enden. Zu prüfen sind Arbeitsplanung, Verantwortungsverteilung, Informationsfluss, Überwachung, Kompetenzen, Vergütungssystem, Ressourcenverfügbarkeit und die Funktionsweise der IT-Werkzeuge. Die Analyse sollte auf Dokumenten, Prozessbeobachtungen sowie Gesprächen mit ausführenden und beaufsichtigenden Personen beruhen. Abhängig von der Feststellung sind außerdem frühere ähnliche Abweichungen, Beschwerden, Arbeitsschutzereignisse, Abrechnungsfehler oder Arbeitszeitüberschreitungen einzubeziehen. Verändert die Beseitigung der vermuteten Ursache weder die Bedingungen, die das Problem ermöglicht haben, noch erklärt sie dessen Wiederholung, wurde wahrscheinlich ein Symptom und nicht die Ursache identifiziert.

Werden Überstunden regelmäßig erst nach ihrer Leistung genehmigt, kann eine Schulung der Führungskräfte das Regelverständnis verbessern. Sie löst das Problem jedoch nicht, wenn die Produktionsplanung weiterhin von einer nicht verfügbaren Personalbesetzung ausgeht, Prämienziele Arbeitszeitüberschreitungen begünstigen und das Zeiterfassungssystem keine Warnung ausgibt. Die Korrekturmaßnahme kann dann Änderungen an Personalplanung, Freigabeschwellen und Ausnahmekontrollen sowie ergänzend eine technische Anpassung erfordern. Eine Verfahrensänderung und Schulung reichen nur aus, wenn die Analyse tatsächlich eine Lücke bei Anforderungen oder Kompetenzen bestätigt und keine anderen Prozessmechanismen den Verstoß weiterhin ermöglichen.

Für jede Maßnahme sollte der Plan einen umsetzungsbefugten Verantwortlichen, das erwartete Ergebnis, den Termin, erforderliche Ressourcen, Abhängigkeiten von anderen Prozessen, den vorgesehenen Umsetzungsnachweis und die Methode der Wirksamkeitsprüfung festlegen. Als Umsetzungsnachweis kommen beispielsweise eine freigegebene Konfigurationsänderung, ein Kontrollprotokoll, eine korrigierte Abrechnung oder das Ergebnis einer Dokumentenprüfung infrage. Das Wirksamkeitskriterium muss zum Risiko passen. Möglich sind etwa keine erneuten Überschreitungen im festgelegten Beobachtungszeitraum, eine fristgerechte Freigabe von Ausnahmen oder die Konformität einer geprüften Abrechnungsstichprobe. Der Aufgabenverantwortliche sollte die Wirksamkeit nicht selbst bestätigen, wenn dadurch die Unabhängigkeit der Bewertung beeinträchtigt würde.

Feststellungen, die mehrere Prozesse, Standorte oder Ursachen betreffen, benötigen eine strukturierte Methode, die Fakten, Analyse, Entscheidungen und Verifizierung zusammenführt. Eine geeignete Struktur bietet A3 Problem Solving – eine Karte, die das Team systematisch zur Lösung führt. Die Methode ist an Komplexität und Risiko der Feststellung anzupassen. Bei einer einzelnen Lücke kann eine einfache Analyse ausreichen. Ein wiederkehrendes oder systemisches Problem erfordert dagegen meist Datenvergleiche, die Prüfung von Ursachenhypothesen und eine Entscheidung darüber, ob organisatorische, technische oder kombinierte Änderungen erforderlich sind.

Nachweise müssen die Veränderung rekonstruierbar machen

Das Nachweispaket sollte erkennen lassen, was wann und durch wen geändert wurde, welchen Umsetzungsumfang die Maßnahme hatte und welche Gruppe betroffen war. Ein unterschriebenes Dokument bestätigt in der Regel nur seine Existenz, nicht die praktische Anwendung. Bereits in der Planung sollten deshalb die erwarteten Aufzeichnungen, ihre Verantwortlichen und die Daten festgelegt werden, die sie mit der konkreten Feststellung verknüpfen: Freigabe- und Inkraftsetzungsdatum, Versionsnummer, Standort, Schicht, Beschäftigtengruppe oder betroffener Dokumentenbestand.

Die Nachweise müssen zur Art der Maßnahme passen und die einzelnen Umsetzungsschritte nachvollziehbar abbilden. Bei einer Änderung mit Auswirkungen auf Beschäftigte kann ein belastbares Paket die freigegebene Regelung, den Nachweis ihrer Kommunikation oder Schulung, eine Stichprobe späterer Betriebsaufzeichnungen und die Bestätigung der tatsächlichen Anwendung enthalten. Wurde das Freigabeverfahren für Überstunden geändert, sind das Inkrafttreten der neuen Regeln, der Kreis der informierten Personen, Beispiele für Anträge nach dem neuen Verfahren und die Ergebnisse der Anwendungskontrolle in den relevanten Schichten miteinander zu verknüpfen. Eine Anwesenheitsliste allein belegt weder das Verständnis der Regeln noch die Kompetenz zu ihrer Anwendung.

Die Auswahl der Aufzeichnungsstichprobe sollte risikobasiert und nicht nach Bequemlichkeit erfolgen. Sie muss einen Zeitraum nach der Umsetzung und – abhängig von der Feststellung – unterschiedliche Schichten, Standorte, Beschäftigtenkategorien oder Ausnahmesituationen abdecken. Jede Datei und jeder Auszug ist eindeutig einer Maßnahme zuzuordnen, mit Datum und Version zu kennzeichnen und nach den Regeln für die Lenkung dokumentierter Information aufzubewahren. Das Ablagesystem sollte verhindern, dass versehentlich eine zurückgezogene Version vorgelegt wird. Dieses Vorgehen ist auch bei umfangreicheren Einführungsprojekten relevant, beispielsweise bei ISO 22163 im Schienenverkehr: Dauer der IRIS-Einführung und Auditvorbereitung.

Vor der Weitergabe an Kunden oder Auditoren ist zu klären, ob ein Quelldokument erforderlich ist oder ein kontrollierter Auszug beziehungsweise eine Auswertung ausreicht. Entgeltabrechnungen oder Arbeitszeitaufzeichnungen können Daten enthalten, die über den Verifizierungszweck hinausgehen. Der Informationsumfang ist deshalb auf das notwendige Mindestmaß zu beschränken. Je nach Bedarf sind Anonymisierung oder Pseudonymisierung und ein sicherer Übertragungsweg einzusetzen. Die Schutzmaßnahmen richten sich nach Zweck, Datenumfang und der Möglichkeit, Informationen wieder einer Person zuzuordnen. Das bloße Schwärzen des Namens schließt eine Identifizierung nicht in jedem Fall aus.

Nur scheinbar belastbare Nachweise sind leere Formularvorlagen, Fotos ohne Datum und Kontext, nicht freigegebene Dokumente, Anwesenheitslisten ohne Kompetenzprüfung und Aufzeichnungen, die ausschließlich zum Schließen der Feststellung erstellt wurden. Nachweise sollten im normalen Prozessablauf entstehen und die tatsächliche Anwendung der Lösung bestätigen. Ein schlüssiges Paket verbindet das Dokument, mit dem die Änderung festgelegt wurde, den Umsetzungsnachweis, eine repräsentative Anwendungsstichprobe und das Ergebnis einer unabhängigen Prüfung. Die Anzahl der Anlagen ersetzt keine konsistente Nachweiskette.

Die Wirksamkeit muss gesondert geprüft werden

Der Abschluss einer Aufgabe bedeutet, dass die geplante Tätigkeit durchgeführt wurde: Ein Verfahren wurde geändert, Beschäftigte wurden geschult, eine Kontrolle wurde eingeführt oder fehlende Aufzeichnungen wurden ergänzt. Das ist nicht gleichbedeutend mit dem Abschluss der Feststellung aus dem SMETA-Audit. Zusätzlich muss unter realen Prozessbedingungen bestätigt werden, dass die Maßnahme die identifizierte Ursache reduziert hat und das Problem nicht erneut auftritt. Der Status „umgesetzt“ beschreibt die Planerfüllung, nicht deren Ergebnis.

Das Wirksamkeitskriterium ist bereits bei der Maßnahmenplanung festzulegen. Es sollte die Kennzahl, die Stichprobenmethode, den Beobachtungszeitraum, die für die Prüfung verantwortliche Person und die Bedingung für eine Wiedereröffnung der Feststellung enthalten. Der Prüfzeitpunkt muss zum Prozessrhythmus und zur Art des Risikos passen. Eine zu frühe Prüfung bestätigt möglicherweise nur die formale Einführung der Lösung. Eine zu späte Prüfung kann die Exposition gegenüber der Abweichung unnötig verlängern. Bei seltenen Ereignissen ist es häufig aussagekräftiger, die folgenden Zyklen, Schichten, Abrechnungsperioden oder Ausnahmesituationen zu erfassen, statt lediglich eine feste Zahl von Tagen abzuwarten.

Nach einer Änderung der Überstundenfreigabe genügt es nicht, die Veröffentlichung der Anweisung und die Schulungsdurchführung zu bestätigen. Die Verifizierung kann vergleichbare Stichproben vor und nach der Änderung, die Zahl erneuter Abweichungen im festgelegten Zeitraum, die Beobachtung des Freigabeablaufs sowie Gespräche mit Beschäftigten und Vorgesetzten umfassen. Gesprächsergebnisse sind sachlich zu dokumentieren, ohne eine nicht vorhandene statistische Genauigkeit vorzutäuschen. Erst die gemeinsame Betrachtung von Aufzeichnungen, Beobachtungen, Aussagen und Kennzahlen erlaubt eine Bewertung der Nachhaltigkeit. Ein einzelnes Dokument belegt normalerweise nur einen Umsetzungsschritt. Eine vergleichbare Entscheidungsdisziplin erfordert der Reaktionsplan im Control Plan – Maßnahmen bei Abweichungen von Prozessgrenzen.

Die prüfende Person sollte insbesondere bei Feststellungen mit hohem Risiko möglichst unabhängig vom Maßnahmenverantwortlichen sein. Dafür ist nicht immer ein externer Auditor erforderlich. Die verifizierende Person darf sich jedoch nicht darauf beschränken, die Erklärung des Umsetzungsverantwortlichen zu übernehmen. Die Bewertung kann durch einen kompetenten internen Auditor, einen Vertreter einer anderen Funktion oder eine von der Leitung benannte Person erfolgen, die sowohl die Nachweise als auch das nach der Umsetzung verbleibende Risiko beurteilen kann.

Wird das festgelegte Kriterium nicht erfüllt, darf die Feststellung weder administrativ geschlossen noch die Wirksamkeitsbewertung durch eine weitere Anlage ersetzt werden. Die Ursache ist erneut zu analysieren, der Plan anzupassen, zusätzliche risikomindernde Maßnahmen sind festzulegen und ein neuer Prüftermin ist zu bestimmen. Ein Follow-up-Audit oder die Überwachung von Kennzahlen muss bestätigen, dass das erwartete Prozessergebnis erreicht wurde – nicht lediglich, dass eine Tätigkeit wiederholt wurde.

Ein Abschluss, der das Managementsystem stärkt

Mit dem Abschluss der Auditantwort sollte die Überwachung der SMETA-Feststellungen nicht enden. Die Unternehmensleitung benötigt kompakte Informationen über Feststellungen mit hohem Risiko, Verzögerungen, Ressourcenengpässe, die Wirksamkeit der umgesetzten Maßnahmen und das verbleibende Risiko. Die Berichtsfrequenz ist an Risikoniveau und Umsetzungsgeschwindigkeit anzupassen. Themen, die Budget-, Organisations- oder Personalentscheidungen erfordern, sollten eskaliert werden, ohne auf die nächste planmäßige Managementbewertung zu warten.

Erkenntnisse aus dem Audit sollten in die dauerhaften Elemente des Managementsystems einfließen: Risikobewertung, Überwachung der HR- und Arbeitsschutzprozesse, internes Auditprogramm, Auswahlregeln für Personaldienstleister, Schulungen und Managementbewertungen. Ob die Überwachung zentral oder lokal organisiert wird, hängt von der Unternehmensstruktur ab. Unabhängig vom Modell sind einheitliche Kriterien erforderlich. Die Verantwortung für Umsetzung und Aufrechterhaltung der Änderung sollte jedoch möglichst nah am jeweiligen Prozess bleiben.

Ein standortübergreifendes Register kann zentral definierte Status, Fristen, Eskalationsregeln und Nachweisanforderungen enthalten, während lokale Maßnahmenverantwortliche in HR, Arbeitsschutz und operativen Bereichen benannt werden. Eindeutige Statusdefinitionen sind Voraussetzung für eine belastbare Kennzahl zum Anteil fristgerecht erledigter Maßnahmen. Ergänzend sollten verspätete, wiedereröffnete und als unwirksam bewertete Maßnahmen, häufige systemische Ursachen sowie Prozesse mit wiederkehrenden Feststellungen überwacht werden. Bei größerem Umfang sollte das SMETA-Register in den bestehenden Korrekturmaßnahmenprozess integriert werden, statt eine separate, ausschließlich für einen Kunden geführte Liste aufzubauen. Dafür müssen die Informationsflüsse klar geregelt sein; weiterführende Hinweise bietet der Beitrag „Wie bereitet man eine Organisation auf die Digitalisierung des Qualitätsmanagements vor?“

Die Erfahrungen aus der Bearbeitung von Feststellungen sollten in ein kontinuierliches Verbesserungsprogramm einfließen. Den passenden Planungskontext beschreibt der Beitrag Wie erstellt man einen Qualitätsverbesserungsplan für 3, 6 und 12 Monate? Das eigentliche Ergebnis ist nicht der Status „geschlossen“, sondern die Fähigkeit des Unternehmens, soziale Risiken frühzeitig zu erkennen, Entscheidungen auf belastbare Fakten zu stützen und Veränderungen auch nach Abschluss des Audits dauerhaft aufrechtzuerhalten.