Kompetenz interner Auditoren nach ISO 19011:2026 – Team bewerten und Qualifizierung planen

Die Bewertung interner Auditoren sollte nicht mit der Frage nach absolvierten Schulungen beginnen, sondern mit der Qualität der Feststellungen, auf die sich die Organisation bei ihren Entscheidungen stützen will. Soll ein Audit die tatsächliche Wirksamkeit der Prozesssteuerung beurteilen, muss das Auditteam Risiken erkennen, Nachweise bewerten und formale Konformität von gelebter Prozesswirksamkeit unterscheiden können. Andernfalls wird das Audit zur Pflichtübung: Die Dokumentation wirkt geordnet, doch das Unternehmen bleibt vor einer falschen Einschätzung seiner Audit- und Zertifizierungsreife, schwachen Korrekturmaßnahmen und einem trügerischen Gefühl der Kontrolle ungeschützt.

Aus Sicht der Geschäftsleitung, des Qualitätsmanagementbeauftragten und der operativen Führung ist dies weder eine reine Personalfrage noch lediglich eine Anforderung des Managementsystems. Es geht um die Steuerung operativer Risiken, die Verlässlichkeit von Managementinformationen und die Qualität der Entscheidungen, die aus Auditergebnissen abgeleitet werden. Deshalb müssen Teambewertung und Qualifizierungsplanung an Prozessen, Risiken und Audit­zielen ausgerichtet werden – nicht am Schulungskalender oder am formalen Abschluss einer Einführungsphase.

Ein fachlich schwaches Audit kostet mehr als ein ausgefallenes Audit

Die größten Kosten eines schwachen internen Audits entstehen weder am Audittag noch bei der Erstellung des Berichts. Sie zeigen sich später, wenn die Organisation auf Grundlage eines Bildes handelt, das zwar belastbar wirkt, den tatsächlichen Prozesszustand aber nicht abbildet. Die Folgen sind falsch gesetzte Prioritäten, übersehene Nichtkonformitäten, ungeeignete Korrekturmaßnahmen und die Annahme, ein Prozess sei beherrscht, obwohl dies in der Praxis nicht der Fall ist.

Die Kompetenzbewertung von Auditoren ist daher keine Formalität. Sie zeigt, ob die Organisation über ein Team verfügt, das zuverlässig beurteilen kann, was für Prozessergebnisse, Konformität und Kunden relevant ist. In vielen Unternehmen werden weiterhin Ersatzkriterien verwendet: die Teilnahme an einer Schulung, die Dauer der Betriebszugehörigkeit, die Zahl durchgeführter Audits oder eine korrekt ausgefüllte Checkliste. Jedes dieser Kriterien kann ergänzend nützlich sein. Keines beantwortet jedoch die entscheidende Frage, ob ein Auditor den Prozess versteht, Risiken erkennt und Schlussfolgerungen belastbar auf objektive Nachweise stützen kann.

Besonders deutlich wird das Problem in Organisationen, die ein Managementsystem einführen oder sich auf eine Zertifizierung vorbereiten. Das interne Audit wird dort häufig als abzuarbeitender Projektmeilenstein verstanden und nicht als Instrument zur realistischen Bewertung der Auditbereitschaft. Das Team bestätigt dann zwar die Konformität der Dokumentation, erkennt jedoch Schwächen in der Prozesslenkung, Unterschiede zwischen Standorten, unwirksame Überwachungsmechanismen oder Umsetzungslücken bei Ausführenden und Prozesseignern nicht. Ein solches Audit kann formal korrekt erscheinen und dennoch nicht vor Problemen warnen, die erst im externen Audit, durch eine Kundenreklamation oder infolge einer Betriebsstörung sichtbar werden.

Die Kompetenzbewertung von Auditoren muss deshalb ebenso bewusst gestaltet werden wie das Auditprogramm: ausgehend vom Auditziel, der Prozesskomplexität, dem Risikoprofil und der erwarteten Qualität der Schlussfolgerungen. In diesem Zusammenhang sollten sowohl der Beitrag „Änderungen am Auditstandard – die neue ISO 19011:2026 und ihre Bedeutung für Organisationen in Polen“ als auch die Ausarbeitung ISO 19011: Leitfaden zur Auditierung von Managementsystemen nicht als Sammlung formaler Hinweise gelesen werden, sondern als Orientierung für den Aufbau einer belastbaren Auditsteuerung.

Zuerst das Risikoprofil, dann das Auditorenprofil

Die erforderliche Kompetenz eines internen Auditors lässt sich nicht losgelöst von den zu auditierenden Prozessen definieren. Ausgangspunkt sollte das Risikoprofil der Organisation sein. Ein einfacher Dokumentenfluss stellt andere Anforderungen an ein Audit als Produktion, kritische Beschaffung, Schweißen, Instandhaltung oder Arbeitsschutz. Wenn das Audit die Wirksamkeit der Prozesslenkung und nicht nur die Konformität von Aufzeichnungen bewerten soll, muss das Auditorenprofil aus der Art des Prozesses, seiner operativen Variabilität, den Folgen möglicher Fehler und der Tragweite der Managemententscheidungen abgeleitet werden, die auf den Auditergebnissen beruhen.

In der Praxis bedeutet dies, sich von einem einheitlichen Schulungsmodell für alle Auditoren zu lösen. Das Auditteam sollte nach dem tatsächlichen Bedarf der Organisation zusammengestellt werden – nicht nach der Annahme, jeder Auditor müsse für alle Themen gleichermaßen qualifiziert sein. Die Bewertung sollte mindestens vier Ebenen umfassen: Kenntnis der Auditkriterien, Verständnis des Prozesses, Fähigkeit zur Erhebung und Bewertung von Nachweisen sowie das Verhalten als Auditor. Dazu gehören Unparteilichkeit, Disziplin bei der Schlussfolgerung und die Fähigkeit, sich nicht durch Erwartungen oder Erklärungen des Prozesseigners beeinflussen zu lassen.

Ein häufiger Fehler in polnischen Unternehmen besteht darin, das Team ausschließlich mit Personen zu besetzen, die „das System kennen“. Diese Mitarbeitenden finden sich meist gut in Verfahren, Formularen und dokumentierten Anforderungen zurecht, können aber nicht immer beurteilen, ob die Steuerung unter realen Betriebsbedingungen funktioniert. Das Audit bestätigt dann vorhandene Aufzeichnungen, erkennt jedoch Schwachstellen in der Überwachung, Unterschiede zwischen Schichten, Abhängigkeiten von einzelnen Mitarbeitenden oder verborgene Risiken in Beschaffung, Planung und Betriebsmittelmanagement nicht. In spezialisierten Umgebungen tritt dieses Problem noch deutlicher hervor. In der Schweißfertigung muss ein Auditor neben den Systemkriterien auch technische Anforderungen, Qualitätsaufzeichnungen und die Steuerungslogik eines speziellen Prozesses verstehen. Für diesen Bereich bleibt daher auch ISO 3834 – Schweißprozesse, Kompetenzen und Qualitätsaufzeichnungen in der Fertigung wirksam steuern ein relevanter Bezugspunkt.

Aus Managementsicht folgt daraus die Notwendigkeit einer gemeinsamen Kompetenzmatrix für das gesamte Team und – soweit erforderlich – zusätzlicher Profile für kritische Bereiche. In Organisationen mit mehreren Standorten oder bei der Weiterentwicklung in Richtung branchenspezifischer Anforderungen verändert sich das Auditorenprofil mit der Reife des Systems und dem erwarteten Prüfungsumfang. Das gilt ebenso für Prozessexperten ohne Auditqualifikation: Sie können als Teammitglieder einen hohen Mehrwert leisten, wechseln ohne auditmethodische Disziplin und Unparteilichkeit jedoch leicht von der Prüfung objektiver Nachweise zur Verteidigung eigener Lösungen. Der Entwicklungsplan sollte deshalb aus der Prozesslandkarte, den Verantwortlichkeiten der Prozesseigner, den Auditkriterien und den Hochrisikobereichen abgeleitet werden. Für produzierende Unternehmen verdeutlicht dies auch der Beitrag Roadmap von DIN EN ISO 9001 zu IATF 16949 in einem Produktionsunternehmen planen.

Das Team bewerten, ohne Kompetenz nur auf dem Papier zu erzeugen

Die Bewertung eines Auditorenteams ist nur dann sinnvoll, wenn sie die tatsächliche Fähigkeit prüft, aus objektiven Nachweisen zutreffende Schlussfolgerungen abzuleiten. Besonders irreführend sind Ersatzindikatoren wie ein Schulungszertifikat, lange Berufserfahrung oder eine hohe Zahl durchgeführter Audits. Sie können ergänzende Hinweise liefern, beantworten aber nicht die Frage, ob ein Auditor formale Konformität von wirksamer Prozesssteuerung unterscheiden kann.

Die Bewertung sollte daher nicht mit einer Schulungsliste beginnen. Zu prüfen ist vielmehr, wie die betreffende Person ein Audit vorbereitet, Stichproben auswählt, Fragen formuliert, mit widersprüchlichen Aussagen umgeht und ob sie eine Schlussfolgerung mit Nachweisen statt mit Intuition begründen kann. Eine reine Sichtung der Berufserfahrung greift zu kurz, wenn sie nicht durch die Beobachtung eines realen Audits, die Analyse früherer Auditaufzeichnungen und ein Fachgespräch über die Herleitung von Schlussfolgerungen ergänzt wird.

Eine belastbare Bewertung prüft nicht nur, ob ein Auditor „eine Nichtkonformität gefunden“ hat, sondern auch, ob er deren operative Bedeutung versteht. Anders zu bewerten ist eine Person, die eine fehlende Unterschrift auf einem Formular feststellt, als jemand, der nachweisen kann, dass eine unzureichend gelenkte Änderung eines Prozessparameters das Risiko von Reklamationen, Stillständen oder Fehlentscheidungen in der Beschaffung erhöht. Geeignete Kriterien für eine Kompetenzmatrix sind meist einfach:

• Auditvorbereitung,
• Relevanz und Präzision der Fragen,
• Qualität der Stichprobenauswahl,
• Logik und Nachvollziehbarkeit der Feststellungen,
• Qualität des Auditberichts,
• Abschluss des Audits mit einer für den Prozesseigner verständlichen und handlungsorientierten Kommunikation.

Besonders wichtig sind zwischenmenschliche Fähigkeiten in ihrer operativen Wirkung, nicht als Frage des Auftretens. Ein Auditor kann die Anforderungen kennen und das Gespräch dennoch so führen, dass ein verzerrtes Prozessbild entsteht: Er akzeptiert Erklärungen zu schnell, gibt dem Druck von Führungskräften nach, meidet Fragen in konfliktträchtigen Bereichen oder formuliert Feststellungen so allgemein, dass keine wirksamen Maßnahmen daraus abgeleitet werden können. Bei der Teambewertung sind daher der Umgang mit hierarchischem Druck, die konsequente Orientierung an Nachweisen und die Fähigkeit zu einem klaren Auditabschluss zu prüfen.

Für einen angehenden Auditor kann es zunächst ausreichen, Teile eines Gesprächs korrekt zu führen und Nachweise zuverlässig zu dokumentieren. Von einem leitenden Auditor ist mehr zu erwarten: Er muss Symptome von Ursachen unterscheiden, die Bedeutung eines Risikos bewerten und Feststellungen so formulieren können, dass sie für Managemententscheidungen nutzbar sind. Organisationen, die ihr System erst strukturieren oder sich auf eine Zertifizierung vorbereiten, sollten ihre tatsächliche Bereitschaft bewerten, statt vollständige Reife vorzutäuschen. Dies veranschaulicht der Beitrag Gap-Audit vor DIN EN ISO 9001 – die Zertifizierungsreife ohne unnötige Kosten realistisch bewerten.

Qualifizierung an Kompetenzlücken ausrichten – nicht am Kalender

Ein Entwicklungsplan für interne Auditoren ist nur sinnvoll, wenn er aus festgestellten Kompetenzlücken abgeleitet wird. Eine Person muss möglicherweise die Auditmethodik systematisieren: Vorbereitung, Stichprobenauswahl, Formulierung von Feststellungen und Auditabschluss. Eine andere beherrscht das Auditieren, versteht jedoch Produktion, Beschaffung oder Instandhaltung nicht ausreichend und kann deshalb eine formale Abweichung nicht zuverlässig von einem operativen Risiko unterscheiden. Eine weitere Person benötigt Unterstützung bei Ursachenanalyse, Berichterstattung oder Gesprächsführung unter Druck und bei kontroversen Sachverhalten.

Eine identische Schulung für das gesamte Team führt meist nur zu vollständigeren Schulungsnachweisen, nicht zu besseren Auditergebnissen. Der Entwicklungsplan sollte daher einen gemeinsamen Kern für alle Auditoren von spezialisierten Entwicklungspfaden für kritische Bereiche trennen. Zum gemeinsamen Mindestumfang gehören in der Regel Auditgrundsätze, Bewertung von Nachweisen, Schlussfolgerungslogik und Berichtsqualität. Für Auditoren in Bereichen mit hoher Risikorelevanz – etwa Arbeitsschutz, Produktion, Beschaffung, Instandhaltung oder spezielle Prozesse – sollten separate Qualifizierungswege vorgesehen werden.

In diesen Bereichen genügt die Kenntnis der Systemanforderungen nicht. Erforderlich ist die Fähigkeit zu beurteilen, ob eine Abweichung Auswirkungen auf Sicherheit, Produktqualität, Betriebsfähigkeit oder die Verlässlichkeit von Aufzeichnungen haben kann. Die Organisation muss entscheiden, ob sie breite Kompetenz im gesamten Team oder Spezialisierungen für ausgewählte Rollen aufbaut – und wie viele Personen tatsächlich das Niveau eines leitenden Auditors benötigen.

Die meisten Fehlentscheidungen entstehen, wenn jede Kompetenzlücke mit einer Präsenzschulung geschlossen werden soll. Viele Fähigkeiten entwickeln sich wirksamer in realen Audits: durch Co-Audits, die Beobachtung eines erfahrenen Auditors, Reviews von Auditberichten, die Analyse konkreter Fälle und die Begleitung der ersten selbstständig durchgeführten Audits. Liegt die Schwäche in der Bewertung von Nachweisen, ist ein Workshop mit eigenen Aufzeichnungen und Feststellungen meist wirksamer als ein weiterer Vortrag über Anforderungen. Bereitet die Gesprächsführung Schwierigkeiten, bringt Mentoring während eines Audits mehr als eine weitere allgemeine Schulung. Auch in spezialisierten Bereichen müssen die Entwicklungswege differenziert werden: Auditoren für Büroprozesse benötigen eine andere Qualifizierung als Auditoren für Arbeitsschutz oder Themen wie ISO 3834 – wirksame Steuerung von Schweißprozessen, Kompetenzen und Qualitätsaufzeichnungen in der Fertigung.

Ein guter Entwicklungsplan beschreibt nicht nur Thema und Termin, sondern vor allem das erwartete operative Ergebnis. Im Voraus ist festzulegen, welches Verhalten sich in welchem Audittyp ändern soll und anhand welcher Kriterien die Organisation die Wirksamkeit der Entwicklung beurteilt. Maßstab ist nicht die Teilnahme an einer Schulung, sondern beispielsweise eine höhere Relevanz der Fragen, eine risikogerechtere Stichprobenauswahl, weniger für das Management unbrauchbare Feststellungen, bessere Berichte oder mehr Selbstständigkeit bei standortübergreifenden Audits. Die Leitlinien der Norm bieten Orientierung, ersetzen aber keine Entwicklungsentscheidung, die auf der beobachteten Auditpraxis beruht.

Das Auditprogramm muss zur realen Kompetenz passen

Auch ein gut qualifizierter Auditor kann Fehler auf Ebene des Auditprogramms nicht ausgleichen. Ist der Auditumfang zu groß, die verfügbare Zeit unrealistisch, werden Stichproben zufällig ausgewählt oder kritische Prozesse wie Unterstützungsbereiche behandelt, kann das Ergebnis formal korrekt wirken und das Management dennoch in die Irre führen. Das Auditteam arbeitet dann nur noch reaktiv: Gespräche werden verkürzt, Nachweise oberflächlich geprüft und Aussagen anstelle der tatsächlichen Prozessumsetzung bewertet.

Das Auditprogramm muss deshalb vom Ziel und von der verfügbaren Durchführungskompetenz her geplant werden – nicht vom Jahreskalender. Eine routinemäßige Überwachung ist anders zu planen als die Bewertung der Bereitschaft vor einem wichtigen Projektmeilenstein, die Prüfung technologischer, organisatorischer oder eigentumsbezogener Änderungen oder die Vorbereitung auf eine Zertifizierung. Neben dem Kompetenzniveau des Auditteams sind die Verfügbarkeit von Prozessexperten, saisonale Abläufe, verteilte Standorte und die Frage zu berücksichtigen, ob ein Prozess anhand von Aufzeichnungen bewertet werden kann oder während einer bestimmten Phase seines Zyklus beobachtet werden muss.

In der Praxis geht es nicht allein darum, ob alle Prozesse jährlich auditiert werden. Entscheidend ist, ob Häufigkeit und Audittiefe dem Risiko, der Prozessreife und der Qualität früherer Feststellungen entsprechen. Gute Ergebnisse werden durch unterschiedliche Auditformen erreicht. Ein vollständiges Audit ist sinnvoll, wenn das Zusammenspiel von Prozessen und Steuerungsmechanismen ganzheitlich beurteilt werden soll. Ein fokussiertes Audit eignet sich zur Prüfung einer konkreten Änderung, einer Reklamationsursache, eines Bereichs mit wiederkehrenden Nichtkonformitäten oder eines Prozesses mit erhöhtem Risiko. Eine thematische Querschnittsprüfung ermöglicht es, denselben Mechanismus in mehreren Abteilungen oder Standorten zu vergleichen – etwa die Lenkung von Aufzeichnungen, die Lieferantenqualifizierung oder den Umgang mit nichtkonformen Ergebnissen.

Für Unternehmen in der Zertifizierungsvorbereitung ist es besonders wichtig, den Projektplan nicht mit tatsächlicher Auditbereitschaft zu verwechseln. Hilfreich ist hierbei das im Beitrag Unternehmen in 90, 180 oder 270 Tagen auf die ISO-9001-Zertifizierung vorbereiten – realistische Szenarien beschriebene Reifegradmodell. Das Auditprogramm sollte außerdem regelmäßig anhand vorhandener Informationen angepasst werden: Ergebnisse früherer Audits, Reklamationen, Nichtkonformitäten, organisatorische Änderungen, Prozesskennzahlen, Arbeitsschutzvorfälle sowie Entscheidungen aus Reviews und Analysen. Zeigt ein Bereich dauerhaft schwache Ergebnisse, während ein anderer Prozess stabil und ohne wesentliche Abweichungen läuft, sind eine identische Auditfrequenz und dieselbe Audittiefe nicht sachgerecht.

Welche Entscheidungen die Geschäftsleitung treffen sollte

Die Kompetenzbewertung des Auditteams schafft erst dann einen Nutzen, wenn sie zu Managemententscheidungen und nicht lediglich zu einem Schulungsplan führt. Die Geschäftsleitung sollte zunächst festlegen, welche Prozesse aufgrund ihres Risikos, ihrer technologischen Komplexität, der organisatorischen Verteilung oder ihrer Bedeutung für Konformität und operative Ergebnisse besonders qualifizierte Auditoren erfordern. Gleichzeitig ist zwischen Kompetenzlücken zu unterscheiden, die intern geschlossen werden können, und solchen, bei denen eine zeitlich begrenzte externe Unterstützung sinnvoll ist – beispielsweise bei ersten Audits in Spezialbereichen, standortübergreifenden Bewertungen oder wenn die interne Unabhängigkeit nur formal gegeben wäre.

Aus der Bewertung sollte ein einfaches, aber eindeutiges Modell zur Kompetenzsteuerung entstehen. Ein Verantwortlicher für die Auditorenentwicklung ist zu benennen, Mindestanforderungen für Teammitglieder und leitende Auditoren sind festzulegen, und Regeln für Erteilung, Erweiterung und Aufrechterhaltung interner Freigaben müssen definiert werden. Praktisch ist zu entscheiden, ob die Kompetenzmatrix Bestandteil eines formalen Verfahrens oder ein operatives Steuerungsinstrument unter Verantwortung des Qualitätsmanagementbeauftragten beziehungsweise des Managementsystemverantwortlichen sein soll.

Ebenso wichtig sind Kriterien zur Bewertung der Auditwirksamkeit nach sechs bis zwölf Monaten: Qualität der Feststellungen, Belastbarkeit der Schlussfolgerungen, termingerechte Umsetzung von Folgemaßnahmen, Wiederholungsrate von Nichtkonformitäten sowie der Nutzen der Ergebnisse für die Managementbewertung und operative Entscheidungen. In Organisationen, die ihr Managementsystem gerade einführen, müssen diese Entscheidungen mit dem Zeitplan bis zur Auditbereitschaft abgestimmt werden – ohne für einen Zertifizierungstermin Kompetenzen nur auf dem Papier zu erzeugen.

Plant ein Unternehmen nach einer größeren technologischen Änderung ein internes Audit des Produktionsprozesses, während das Team nur über allgemeine Auditkenntnisse verfügt, ist häufig eine Kombination aus prozessbezogener Unterweisung, Beteiligung eines erfahrenen leitenden Auditors und Begrenzung des ersten Audits auf die wesentlichen Steuerungsmechanismen sinnvoller. Auch in kleinen Unternehmen lässt sich dieses Modell ohne umfangreiche Qualitätsorganisation umsetzen, sofern die Rollen eindeutig getrennt sind und externe Kompetenz gezielt dort eingesetzt wird, wo das interne Team noch keine belastbare Grundlage für Schlussfolgerungen bietet.

• Welche Prozesse dürfen nur unter Beteiligung von Auditoren mit spezifischer Fachkompetenz auditiert werden?
• Welche Kompetenzlücken werden durch Schulung, Mentoring oder praktische Auditerfahrung geschlossen?
• Wann wird unabhängige externe Unterstützung eingesetzt und wie wird deren Verantwortungsumfang definiert?

Ein gut aufgebautes System zur Steuerung von Auditorenkompetenzen stärkt nicht nur die Übereinstimmung mit den Auditierungsleitlinien. Vor allem verbessert es die Qualität von Managemententscheidungen, Verbesserungsmaßnahmen und der Risikosteuerung. Wenn die Organisation nach einem Jahr weniger oberflächliche Audits, eine bessere risikobasierte Differenzierung der Audittiefe und für die Führungsebene nutzbarere Feststellungen verzeichnet, wurde die Kompetenzbewertung zu einem wirksamen Element der Unternehmenssteuerung – und ist nicht bei einem Schulungsnachweis stehen geblieben.