SMETA-Dokumentation vor dem Audit: Richtlinien, Verfahren und Nachweise als konsistentes System

Die SMETA-Dokumentation ist kein Bündel von Richtlinien, das erst für den Besuch des Auditors zusammengestellt wird. Sie muss belegen, dass Vorgaben zu Beschäftigung, Arbeitszeit und Vergütung, Arbeitssicherheit, Umwelt, Geschäftsethik und zur Steuerung externen Personals in der Praxis umgesetzt werden. Der Auditor gleicht Dokumente mit Primärnachweisen, Beobachtungen am Standort und vertraulichen Aussagen von Beschäftigten ab. Widersprüche zwischen diesen Quellen stellen die Belastbarkeit der gesamten Nachweiskette infrage.

Die Vorbereitung sollte deshalb mit der Bestätigung des Auditumfangs und der Aufnahme der tatsächlich gelebten Prozesse beginnen. Anschließend sind Verantwortlichkeiten festzulegen, Richtlinien und Verfahren zu ordnen, Daten aus unterschiedlichen Systemen abzugleichen und die Auditbereitschaft strukturiert zu bewerten. Ziel ist keine formale Konformitätsfassade. Der Standort muss seine Regeln, Entscheidungen, Abweichungen und Aufzeichnungen anhand konkreter Personen, Schichten und Ereignisse nachvollziehbar erläutern können.

Ein Dokument ist noch kein Nachweis

SMETA ist als Methodik für ethische Audits in Lieferketten zu verstehen, nicht als zertifizierbare Managementsystemnorm. Das Auditergebnis darf daher nicht als Konformitätszertifikat dargestellt werden. Sedex dient als Plattform für den Informationsaustausch und ist keine Stelle, die ein solches Zertifikat ausstellt. Bei der Auditvorbereitung muss der Standort die Konsistenz zwischen den Anforderungen des Auftraggebers, den eigenen Vorgaben, den tatsächlichen Arbeitsbedingungen und den zugrunde liegenden Nachweisen darlegen.

Als erster Schritt sollte der Auditumfang schriftlich mit dem Kunden oder Auditauftraggeber bestätigt werden. Zu klären sind der Standort, die Auditart, der Zwei- oder Vier-Säulen-Umfang, die Kern- und Unterstützungsprozesse, die einbezogenen Beschäftigtengruppen sowie der erwartete Nachweiszeitraum. Sofern sie Gegenstand der Bewertung sind, müssen auch Zeitarbeitskräfte, Beschäftigte von Subunternehmen und Personen im Schichtbetrieb berücksichtigt werden. Maßgeblich sind die aktuellen Vereinbarungen mit der Auditorganisation und die einschlägigen Dokumente der SMETA-Methodik. Annahmen aus dem Audit eines anderen Standorts sollten nicht ungeprüft übernommen werden.

Die Dokumentation sollte entlang belastbarer Nachweisketten strukturiert werden: von der Vorgabe über die zugewiesene Verantwortung und die ausgeführte Tätigkeit bis zur Aufzeichnung, mit der sich ein konkreter Fall rekonstruieren lässt. Dafür müssen Personalwesen, Entgeltabrechnung, operative Bereiche, Arbeitsschutz und die für Subunternehmen verantwortlichen Personen zusammenarbeiten. Ein zentraler Koordinator sollte den Umfang, die Dokumentversionen, die Vollständigkeit der Daten und die Verantwortlichen für erkannte Lücken steuern. Eine vergleichbare Logik zur Strukturierung von Nachweisen behandelt der Beitrag NIS2- und KSC-Dokumentation vor einer Kontrolle: Welche Richtlinien, Register und Nachweise tatsächlich erforderlich sind.

Der Auditor vergleicht die Inhalte von Richtlinien und Verfahren mit Beobachtungen an den Arbeitsplätzen, Gesprächen mit Beschäftigten und Daten aus den Ursprungssystemen. Eine Richtlinie gegen übermäßige Arbeitszeiten belegt keine wirksame Umsetzung, wenn Zeiterfassung, Schichtpläne, Entgeltabrechnungen und Aussagen der Beschäftigten ein anderes Bild ergeben. Entscheidend ist nicht der Umfang eines Verfahrens, sondern ob eine ausgewählte Person, Schicht oder Periode durchgängig nachvollzogen und jede Abweichung plausibel erklärt werden kann. Ein erst kurz vor dem Audit erstelltes Dokument ohne operative Bestätigung reduziert das Risiko nicht, sondern erhöht die Wahrscheinlichkeit, dass Inkonsistenzen sichtbar werden.

Risiko- und Verantwortungsmatrix

Die Strukturierung der Dokumentation sollte mit einer Prozess- und Risikomatrix beginnen. Sie umfasst Beschäftigung, Arbeitszeit, Vergütung, Sicherheit und Gesundheit bei der Arbeit, Umwelt, Geschäftsethik, Subunternehmen sowie gegebenenfalls Unterbringung und Transport. Die Matrix muss die tatsächlichen Beschäftigungsformen, Personaldienstleister, Schichten, Standorte und zusätzlichen Einrichtungen auf Grundlage aktueller Organisationsdaten abbilden. Erst dieses Gesamtbild ermöglicht die Entscheidung, ob die Dokumentenlenkung zentral erfolgen kann oder lokale Verantwortliche benannt werden müssen.

Für jeden Bereich sind der Prozessverantwortliche und der Verantwortliche für die jeweilige Aufzeichnung eindeutig festzulegen. Zusätzlich müssen Ablageort, erforderliche Zugriffsrechte, Prüfzeitraum und Freigabe von Änderungen geregelt sein. Der Zugriff des Auditors auf Personalakten und Entgeltunterlagen erfordert eine gesonderte Entscheidung. Die Einsicht muss eine Prüfung ermöglichen und zugleich den Vorgaben zum Datenschutz sowie den internen Berechtigungskonzepten entsprechen.

Die gravierendsten Lücken entstehen häufig an den Schnittstellen. Das Personalwesen führt die Akten, die Entgeltabrechnung berechnet Zuschläge, die Produktion ändert den Schichtplan, der Sicherheitsdienst protokolliert Zutritte und ein externer Anbieter setzt Personal am Standort ein. Jeder einzelne Datenbestand kann plausibel wirken, während der Abgleich eine abweichende Praxis offenlegt. Eine Dokumentationslücke liegt vor, wenn ein Nachweis fehlt oder nicht zugänglich ist. Eine nichtkonforme Praxis besteht dagegen, wenn belastbare Aufzeichnungen, Beobachtungen oder Aussagen eine Abweichung von der festgelegten Regel bestätigen.

Bei begrenzter Vorbereitungszeit haben Themen Vorrang, die eine hohe Auswirkung auf Menschen und Konformität, eine breite Reichweite oder eine erschwerte Datenrekonstruktion aufweisen. Nicht die am schnellsten zu formulierenden Verfahren sollten zuerst bearbeitet werden. Die Geschäftsleitung sollte die Verantwortungsmatrix, die erforderlichen Ressourcen und den Eskalationsweg für Abweichungen freigeben. Der Koordinator steuert Umfang, Termine und Lückenstatus, übernimmt aber nicht die fachliche Verantwortung von Personalwesen, Produktion, Arbeitsschutz oder Einkauf. Die Bedeutung dieser Aufgabenteilung erläutert auch der Beitrag ASME NQA-1 – Qualität, Verantwortung und Überwachung in Projekten für die Kernenergie strukturieren.

Richtlinien setzen verbindliche Leitplanken

Das Richtlinienpaket muss aus dem bestätigten Auditumfang, dem Risikoprofil des Standorts, den Kundenanforderungen und den für die Tätigkeit geltenden Vorschriften abgeleitet werden. Einen universellen Dokumentensatz für alle Organisationen gibt es nicht. Üblicherweise werden Vorgaben zu Arbeitsstandards, zum Verbot von Zwangs- und Kinderarbeit, zu Nichtdiskriminierung und Schutz vor Belästigung, Vereinigungsfreiheit, Vergütung und Arbeitszeit, Arbeitsschutz, Umwelt und Geschäftsethik benötigt. Diese Themen können in einer übergeordneten Richtlinie oder in bereichsspezifischen Dokumenten geregelt werden, sofern die Struktur den tatsächlichen Verantwortlichkeiten entspricht. Ein Verhaltenskodex für Lieferanten kann dieses System ergänzen, ersetzt jedoch keine intern geltenden Regeln.

Jede Richtlinie sollte die Verpflichtung der Leitung, den erfassten Personenkreis, die für die Umsetzung zuständigen Rollen, verfügbare Meldewege, den Schutz vor Repressalien, den Bearbeitungsprozess und die Kommunikation an die Beschäftigten festlegen. Die Freigabe durch die zuständige Leitungsebene verleiht dem Dokument Verbindlichkeit, belegt aber noch keine Umsetzung. Erforderlich sind operative Mechanismen und Nachweise dafür, dass die Zielgruppen die Regel kennen, verstehen und nutzen können. Bewertet werden können beispielsweise die Reichweite der Kommunikation, das bestätigte Verständnis und die fristgerechte Reaktion auf Meldungen.

Der persönliche Geltungsbereich darf nicht bei regulär angestellten Beschäftigten enden. Die Organisation muss entscheiden, welche Vorgaben auch für Personen mit anderen Vertragsformen, Zeitarbeitskräfte, Wanderarbeitskräfte und am Standort tätiges Personal von Subunternehmen gelten. Eine Richtlinie gegen Belästigung bleibt wirkungslos, wenn Beschäftigte der Nachtschicht den Meldeweg nicht kennen oder ihn nicht in einer verständlichen Sprache nutzen können. Mehrsprachige Kommunikation sollte sich an der tatsächlichen Beschäftigtenstruktur orientieren und nicht allein an der formalen Sprache der Dokumentation.

Besondere Sorgfalt ist bei der Übernahme konzernweiter Richtlinien erforderlich. Vor der Einführung ist zu prüfen, ob die genannten Rollen in der lokalen Gesellschaft tatsächlich bestehen, die Meldekanäle funktionieren, Reaktionsfristen eingehalten werden können und die beschriebenen Leistungen sowie organisatorischen Regelungen vor Ort gelten. Andernfalls erzeugt das Dokument eine Verpflichtung, die der Praxis widerspricht.

Eine integrierte Richtlinie für verantwortungsvolle Beschäftigung kann mehrere Einzeldokumente ersetzen, sofern Verantwortlichkeiten klar bleiben und die operative Umsetzung verknüpft ist. Die Dokumentenhierarchie sollte eindeutig sein: Die Richtlinie setzt den Grundsatz, das Verfahren beschreibt den Ablauf, die Arbeitsanweisung regelt die konkrete Ausführung und ein Formular oder Register dokumentiert den Nachweis. Diese Unterscheidung ist auch für den Ansatz im Beitrag Voraudit vor DIN EN ISO 9001 – Auditbereitschaft ohne unnötige Kosten belastbar bewerten relevant.

Verfahren müssen die Praxis steuern

Verfahren sollten vor allem für Entscheidungspunkte entwickelt werden, an denen eine Führungsentscheidung, eine Planabweichung oder inkonsistente Daten zu einem Verstoß führen können. Im Personalbereich sollten sie Rekrutierung, Prüfung von Alter und Arbeitsberechtigung, Abschluss und Änderung von Beschäftigungsbedingungen, Bestätigung der Freiwilligkeit der Arbeit sowie das Verbot unzulässiger Gebühren abdecken. Ebenso klar sind das Ende der Zusammenarbeit und die Rückgabe von Dokumenten zu regeln, die den Beschäftigten gehören.

Nicht jede Tätigkeit benötigt ein separates Verfahren, wenn Prozesse dieselben Rollen und Kontrollen nutzen. Ein eigener Ablauf ist jedoch erforderlich, wenn Vertraulichkeit, Freigabeweg oder Verantwortung wesentlich abweichen. Die Dokumentenstruktur soll Entscheidungen und die Entstehung belastbarer Nachweise unterstützen, nicht lediglich das Organigramm formal nachbilden.

Besonders kritisch ist der Zusammenhang zwischen Personalbesetzung, Produktionskapazität und Arbeitszeit. Das Verfahren sollte die Schichtplanung, die manuelle oder systemgestützte Genehmigung von Mehrarbeit, die Anwesenheitserfassung sowie die Abrechnung von Zuschlägen, Urlaub und Abzügen regeln. Ein zentraler Kontrollmechanismus ist der Abgleich von Zutrittsdaten, Schichtplänen, Arbeitszeiterfassung und Entgeltabrechnung. Abweichungen sind vor dem Abschluss der Abrechnungsperiode zu klären.

Erfordert ein dringender Auftrag eine Planänderung, muss die Abweichung die freigebende Person, die Entscheidungsgrundlage, die Konformitätsbewertung und den nach der Umsetzung verbleibenden Nachweis erkennen lassen. Grenzwerte, Ruhezeiten, Abrechnungsregeln und Fristen sind anhand der jeweils aktuellen Anforderungen für die konkrete Beschäftigungsform und Situation der betroffenen Person zu bewerten. Eine pauschale Universalgrenze reicht hierfür nicht aus.

Im Arbeitsschutz müssen die Verfahren den tatsächlichen Gefährdungen des Standorts entsprechen. Sie sollten Gefährdungsbeurteilungen, Unterweisungen, Auswahl und Ausgabe persönlicher Schutzausrüstung, Meldung und Untersuchung von Unfällen, Notfallvorsorge, Erste Hilfe und Brandschutz regeln. Abhängig von der Tätigkeit ist außerdem die Überwachung von Prüfungen an Arbeitsmitteln und Schutzeinrichtungen sowie die sichere Durchführung besonders gefährlicher Arbeiten erforderlich.

Die Freigabe einer Tätigkeit mit besonderen Schutzanforderungen darf nicht allein auf einer Arbeitsanweisung beruhen. Sie benötigt einen klaren Entscheidungsverantwortlichen, definierte Startbedingungen, Abbruchkriterien und einen dokumentierten Kontrollnachweis. Eine ähnliche Logik für Kompetenzsteuerung und Nachweise beschreibt der Beitrag ISO 3834 – Schweißprozesse, Kompetenzen und Qualitätsaufzeichnungen in der Produktion steuern.

Ein wirksames Beschwerdeverfahren muss zugängliche Kanäle, Vertraulichkeit, unabhängige Bearbeitung, Fristen, Schutz vor Repressalien, Rückmeldung und Fallabschluss regeln. Ein Briefkasten ohne dokumentierte Bearbeitung ist kein vollständiges System. Es muss festgelegt sein, wer eine Meldung über eine Führungskraft oder die Unternehmensleitung entgegennimmt und wann der Fall an eine unabhängige Person oder Stelle übergeben wird. Das Register sollte Reaktionsfristen, Bearbeitungsstatus und umgesetzte Maßnahmen bewertbar machen, ohne die Identität der meldenden Person unnötig offenzulegen.

Für Umwelt und Geschäftsethik sind Verfahren erforderlich, die zu den tatsächlichen Aspekten und Risiken der Tätigkeit passen. Sie können die Überwachung relevanter Anforderungen, Abfälle, Ressourcennutzung und Umweltereignisse sowie Interessenkonflikte, Geschenke, Fehlverhalten und Meldungen umfassen. Ausnahmen sollten anhand des Anlasses, der Entscheidungsbefugnis, der Grenzen der Ausnahme und des erforderlichen Nachweises geregelt werden. Das ist wirksamer, als jedes denkbare Szenario in einem umfangreichen Dokument abzubilden.

Aufzeichnungen müssen Fakten rekonstruierbar machen

Eine Aufzeichnung ist dann belastbar, wenn sich damit die Arbeitsbedingungen einer konkreten Person oder der Ablauf eines Ereignisses rekonstruieren lassen: Wer hat wann, auf welcher Grundlage und mit welchem Ergebnis gehandelt? Vor dem Audit sind daher für jeden Prozess die maßgebliche Datenquelle, Regeln zur Versionskennzeichnung und ein Verfahren zur Fehlerkorrektur festzulegen, das den ursprünglichen Eintrag nicht unkenntlich macht. Ebenso wichtig sind Aufbewahrung, Verfügbarkeit und Archivierung. Der Nachweis muss den richtigen Standort und den geprüften Zeitraum abdecken; seine Herkunft sollte überprüfbar sein.

Personalakten und Personalregister müssen dem Status der jeweiligen Person entsprechen. Dazu können die Grundlage der Beschäftigung oder Zusammenarbeit, die Bestätigung der Bedingungen, Angaben zur rechtmäßigen Arbeitsaufnahme, Nachweise über Schulungen und übermittelte Informationen, Änderungen der Bedingungen sowie das Ende der Zusammenarbeit gehören. Die entscheidende Konsistenzprüfung bleibt jedoch die vollständige Rückverfolgung einer Person: vom Schichtplan über tatsächliche Anwesenheit und Arbeitszeiterfassung sowie Genehmigungen oder Anweisungen zu zusätzlicher Arbeit bis zur Entgeltberechnung und zum Zahlungsnachweis. HR-System, Zutrittssystem, Unterlagen der Führungskraft und Entgeltabrechnung müssen denselben Sachverhalt abbilden.

Zeigt das Zutrittssystem eine Anwesenheit nach dem erfassten Arbeitsende, darf die Differenz weder automatisch als Mehrarbeit eingestuft noch ohne Prüfung als technischer Fehler verworfen werden. Die Ursache ist zu ermitteln. Dazu sind Schichtplan, arbeitsplatzbezogene Aufzeichnungen, Anweisungen der Führungskraft und Entgeltabrechnung abzugleichen. Anschließend müssen die Erklärung und eine freigegebene Korrektur dokumentiert werden.

Die Stichprobe für die interne Prüfung ist risikobasiert auszuwählen. Sie sollte unterschiedliche Beschäftigungsformen, Schichten und Abteilungen, Perioden mit erhöhter Produktion, zusätzliche Arbeitszeiten und Ausnahmefälle umfassen. Der Umfang der Stichprobe ergibt sich aus der Größe des Betriebs und den erkannten Abweichungen, nicht aus einer pauschal festgelegten Fallzahl.

Im Arbeitsschutz sollte die Nachweiskette aktuelle Gefährdungsbeurteilungen mit Schulungs-, Untersuchungs- und Berechtigungsnachweisen, Prüfungen von Arbeitsmitteln und Schutzvorrichtungen, der Ausgabe persönlicher Schutzausrüstung, Notfallübungen, Unfällen, Korrekturmaßnahmen und Begehungen der Arbeitsbedingungen verknüpfen. Für Umwelt und Geschäftsethik sind – sofern diese Bereiche zum Auditumfang gehören – die für die Tätigkeit relevanten Genehmigungen und Meldungen, Messergebnisse, Betriebsaufzeichnungen, Vorfälle, Beschwerden, Interessenkonflikte, Hinweisgebermeldungen und Folgemaßnahmen zu ordnen. Die Bedeutung rückverfolgbarer Aufzeichnungen zeigt auch der Beitrag AQAP 2110 – Welche Dokumente und Prozesse prüfen Auditoren im Verteidigungssektor besonders häufig?

Für Personaldienstleister und Subunternehmen ist eine separate Nachweiskette aufzubauen. Die Dokumentation sollte eine Bewertung ihrer Eignung, der vertraglichen Bedingungen, der Listen eingesetzter Personen, erforderlicher Meldungen, Abrechnungen, Überwachungsmaßnahmen und Reaktionen auf festgestellte Unregelmäßigkeiten ermöglichen. Ein Handelsvertrag allein belegt nicht, dass Personen am Standort über den erforderlichen Status verfügen, vereinbarte Leistungen erhalten und unter den erklärten Bedingungen arbeiten. Der Prozessverantwortliche sollte deshalb die Daten des Auftragnehmers regelmäßig mit Anwesenheit, Arbeitszeiterfassung, Abrechnungsunterlagen und Ergebnissen von Kontrollen vor Ort abgleichen.

Auditbereitschaft bewerten und Lücken wirksam schließen

Die Bereitschaftsbewertung sollte die Logik des eigentlichen Audits nachvollziehen: Dokumentenprüfung, Standortbegehung, Gespräche mit Führungskräften und Beschäftigten, Stichproben aus Personalakten und systemübergreifende Datenabgleiche. Eine Checkliste vorhandener Richtlinien reicht nicht aus, da sie Unterschiede zwischen dokumentierter Vorgabe und Praxis in einer Produktionsschicht nicht sichtbar macht. Abhängig von Kompetenz und Unabhängigkeit des Teams kann die Organisation ein internes Probeaudit durchführen oder eine unabhängige Bewertung beauftragen. Dies entspricht dem Ansatz des Beitrags Voraudit vor DIN EN ISO 9001 – Auditbereitschaft ohne unnötige Kosten belastbar bewerten. Die Bereitschaftsbewertung muss eindeutig vom eigentlichen Audit getrennt werden.

Jede festgestellte Lücke ist einer der folgenden Kategorien zuzuordnen:

• fehlendes Dokument oder fehlende Aufzeichnung;
• fehlende Umsetzung einer festgelegten Vorgabe;
• unwirksame Steuerung oder Überwachung;
• Datenabweichung;
• potenzieller Verstoß mit unmittelbarem Handlungsbedarf.

Die Einstufung bestimmt die Verantwortung und den Eskalationsweg. Eine nicht freigegebene Arbeitsanweisung kann in der Verantwortung des Prozessverantwortlichen liegen. Der Verdacht auf eine fehlerhafte Arbeitszeitabrechnung erfordert dagegen die unverzügliche Einbindung der Personalverantwortlichen, der Leitung und – abhängig von den Umständen – der Rechtsberatung. Eine vergleichbare risikobasierte Logik behandelt der Beitrag Lieferantenaudit vor Vertragsabschluss – Qualitäts- und Terminrisiken reduzieren.

Der Maßnahmenplan darf nicht bei der Ergänzung eines fehlenden Formulars enden. Er sollte die unmittelbare Korrektur, Ursachenanalyse, Korrekturmaßnahme, Frist, verantwortliche Person, den erforderlichen Umsetzungsnachweis und die Wirksamkeitsbewertung enthalten. Die Schließung einer Lücke sollte durch eine Person freigegeben werden, die über ausreichende Kompetenz und Unabhängigkeit zur Bewertung des Nachweises verfügt. Dies sollte nicht automatisch die Person sein, die die Maßnahme umgesetzt hat.

Das Bereitschaftsregister sollte die Lücken nach Bereich und Risiko, die jeweiligen Verantwortlichen, Fristen und den Status der Nachweise ausweisen. Nicht jede Lücke lässt sich vor dem Audit verantwortungsvoll schließen. Eine neu eingeführte Aufzeichnung, die noch keinen ausreichend langen Zeitraum für eine Wirksamkeitsbewertung abdeckt, ist noch kein Nachweis für eine nachhaltige Verbesserung.

Die Vorbereitung von Beschäftigten und Führungskräften besteht darin, Zweck des Audits, Rechte der Beteiligten, Vertraulichkeitsregeln und den Umgang mit Informationen zu erläutern. Das Einüben erwarteter Antworten beeinträchtigt die Glaubwürdigkeit der Gespräche und kann reale Risiken verdecken. Beschäftigte sollten die geltenden Regeln und Meldekanäle kennen, ihre Antworten aber auf der Grundlage der eigenen Erfahrungen geben.

Die Entscheidung über die Auditbereitschaft trifft die Geschäftsleitung auf Grundlage der offenen Risiken, der Konsistenz der Nachweisketten und der Fähigkeit der Prozessverantwortlichen, die gelebte Praxis sachlich zu erläutern. Bestehen weiterhin ein potenzieller Verstoß mit Auswirkungen auf Beschäftigte, unzuverlässige Daten oder eine Lücke, deren Wirksamkeit erst über einen längeren Zeitraum bestätigt werden kann, ist eine Eskalation erforderlich. Sofern Kundenanforderungen und organisatorische Vereinbarungen dies zulassen, können schwerwiegende ungelöste Lücken eine Verlegung des Audittermins rechtfertigen.