Ihr Auditor verlangt etwas, das nicht in der Norm steht

Es gibt einen Moment im Audit, den fast jeder kennt: Der Auditor verlangt etwas, das noch nie jemand verlangt hat, und alle im Raum nicken. Niemand fragt nach, weil niemand sicher ist. Aus dem Nicken wird eine Maßnahme, aus der Maßnahme ein Verfahren, und drei Jahre später macht der Betrieb etwas, das in keiner Norm steht. Ich habe zwei Forderungen mitgebracht, die besonders oft fallen, und beide halten der Gegenprobe nicht stand.

Der Satz, der die Lage in zehn Sekunden klärt

Er lautet: In welchem Abschnitt steht das genau? Nicht in welcher Norm, nicht sinngemäß, sondern der Abschnitt. Das ist keine Provokation und auch kein Misstrauensvotum. Es ist die normale Arbeitsweise eines Audits, denn eine Feststellung ist nach ISO 19011, Begriff 3.11, das Ergebnis der Bewertung von Nachweisen gegen Auditkriterien. Ohne Kriterium keine Feststellung. Wer nach der Fundstelle fragt, fragt nach dem Kriterium.

Gute Auditoren beantworten diese Frage gern. Sie haben den Abschnitt im Kopf oder schlagen ihn auf, und danach ist die Sache in zwei Minuten geklärt, in die eine oder in die andere Richtung. Kommt stattdessen ein Satz wie „das machen alle so“ oder „das verlangt der Zertifizierer“, dann wissen Sie genug: Die Forderung hat keinen Maßstab, und eine Abweichung kann daraus nicht werden.

Wichtig ist der Ton. Die Frage funktioniert freundlich und interessiert, nicht angriffslustig. Ich formuliere sie meistens so: Ich will das richtig aufschreiben, in welchem Abschnitt finde ich das? Damit bekommt das Gegenüber eine Brücke, und Sie bekommen entweder die Fundstelle oder die Erkenntnis, dass es keine gibt.

Die Antwort sortiert sich danach von selbst. Diese drei tragen, und Sie sollten die Forderung dann auch umsetzen:

• Klausel 9.2.2 c), da geht es um die Auswahl der Auditoren.
• Steht in Ihrer eigenen Verfahrensanweisung QM-07, Abschnitt 3.
• Kommt aus dem Rahmenvertrag mit Ihrem Kunden, Anlage 4.

Und diese drei tragen nicht, egal wie überzeugt sie vorgetragen werden:

• Das ist gelebte Praxis, das machen alle so.
• Das verlangt unsere Zertifizierungsstelle intern.
• Das ergibt sich aus dem Sinn und Zweck der Norm.

Beispiel eins: das Zertifikat für den internen Auditor

Die Forderung lautet, interne Auditoren müssten einen Lehrgang mit Zertifikat vorweisen. Sie ist so verbreitet, dass ganze Schulungsangebote darauf aufbauen. Nur steht sie nicht in der Norm. Das Wort Zertifikat kommt in ISO 9001:2015 kein einziges Mal vor. Ich habe das nicht geschätzt, sondern im Volltext gezählt: null Treffer. In der deutschen Fassung der ISO/IEC 42001 übrigens genauso, null.

Was tatsächlich verlangt wird, steht an zwei Stellen. Klausel 7.2 sagt, die Organisation muss die erforderliche Kompetenz bestimmen und sicherstellen, dass die Personen auf Grundlage angemessener Ausbildung, Schulung oder Erfahrung kompetent sind. Das kleine Wort dazwischen ist ein Oder, kein Und. Und sie muss dokumentierte Information als Nachweis der Kompetenz aufbewahren, also einen Nachweis, nicht eine Urkunde. Klausel 9.2.2 c) verlangt für Audits etwas ganz anderes, nämlich dass Auditoren so ausgewählt werden, dass Objektivität und Unparteilichkeit des Auditprozesses sichergestellt sind.

Das ist die eigentliche Hürde, und sie ist härter als jedes Zertifikat: Niemand auditiert seinen eigenen Bereich. Ein Lehrgang ändert daran nichts. Eine erfahrene Fertigungsleiterin, die seit zwanzig Jahren weiß, wo die Leichen liegen, und die den Einkauf auditiert, erfüllt beide Anforderungen. Ein frisch zertifizierter Kollege, der seine eigene Abteilung prüft, erfüllt keine davon.

Der Lehrgang ist ein guter Weg zur Kompetenz. Er ist nicht die Anforderung. Die Anforderung ist die Kompetenz selbst, und die können Sie auch anders belegen.

Missverstehen Sie das nicht als Plädoyer gegen Schulung. Ich bilde selbst Auditoren aus und halte den Lehrgang für den schnellsten Weg. Aber es ist ein Unterschied, ob ich etwas empfehle oder ob ich behaupte, die Norm verlange es. Das zweite ist schlicht falsch, und es kostet kleine Betriebe Geld, das sie an anderer Stelle dringender brauchen.

Beispiel zwei: alle drei Jahre muss alles auditiert sein

Die zweite Forderung klingt noch plausibler: Innerhalb von drei Jahren müssen alle Prozesse und alle Bereiche einmal auditiert worden sein. Viele Auditprogramme im Mittelstand sind genau so gebaut, als Matrix mit Häkchen, und niemand fragt, woher die drei Jahre kommen. Aus der ISO 9001 kommen sie nicht. Auch hier habe ich gezählt: Weder „drei Jahre“ noch „3 Jahre“ steht irgendwo im Normtext.

Was Klausel 9.2.2 a) verlangt, ist ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung. Und dann nennt die Klausel drei Dinge, die dabei berücksichtigt werden müssen: die Bedeutung der betroffenen Prozesse, Änderungen mit Einfluss auf die Organisation und die Ergebnisse vorheriger Audits. Das ist eine risikobasierte Vorgabe, keine Kalendervorgabe. Ein Prozess, der seit fünf Jahren unauffällig läuft und sich nicht verändert hat, darf seltener drankommen als der, in dem letztes Jahr drei Abweichungen standen.

Ein Fall aus einem Zerspanungsbetrieb mit knapp sechzig Beschäftigten, den ich begleitet habe: Im Auditprogramm standen elf Bereiche, sauber über drei Jahre verteilt. In einem Jahr fielen zwei davon aus, weil ein Kunde eine Sonderprüfung auslöste und die Zeit woanders gebraucht wurde. Die Qualitätsleitung fürchtete eine Abweichung und wollte die beiden Audits im Dezember durchpeitschen, zwei Halbtage, ohne Vorbereitung, nur damit die Häkchen stehen. Wir haben es nicht getan. Stattdessen stand im Auditprogramm eine Zeile dazu, warum umgeplant wurde und welche Prozesse dafür vorgezogen wurden. Der Zertifizierer hat das gelesen, genickt und weitergeblättert. Zwei Audits, die niemandem genutzt hätten, sind so nicht stattgefunden.

Der Dreijahreszeitraum ist trotzdem nicht erfunden. Er steht in der IATF 16949, dem Regelwerk der Automobilindustrie, dort in Abschnitt 9.2.2.1: Auf Basis eines jährlichen Programms sind innerhalb von drei Kalenderjahren sämtliche Prozesse des Qualitätsmanagementsystems zu auditieren. Wer aus der Automobilwelt kommt, trägt diese Regel oft unbewusst mit. Für einen Zulieferer mit IATF-Zertifikat ist sie bindend. Für den Maschinenbauer nebenan, der nur nach ISO 9001 zertifiziert ist, ist sie es nicht.

Das heißt nicht, dass Sie Ihr Auditprogramm jetzt umbauen müssen. Ein dreijähriger Rundlauf ist eine saubere, nachvollziehbare Planung und für viele Betriebe genau richtig. Es heißt nur: Sie tun es, weil Sie es für sinnvoll halten, nicht weil die Norm es verlangt. Und wenn im nächsten Jahr ein Bereich zweimal drankommt, weil dort etwas schiefgegangen ist, und ein anderer deshalb ausfällt, dann ist das kein Regelbruch, sondern genau das, was 9.2.2 a) beschreibt.

Warum das passiert, und warum es meistens kein böser Wille ist

Es gibt drei Quellen für solche Forderungen, und keine davon ist Bosheit. Die erste habe ich gerade beschrieben: Regeln aus einem anderen Regelwerk, die jemand mitbringt. Automotive, Luftfahrt, Medizinprodukte, Lebensmittel. Wer in mehreren Welten unterwegs ist, hat mehr Anforderungen im Kopf, als für Ihren Fall gelten.

Die zweite Quelle sind alte Fassungen. Die ISO 9001 hat in der Revision 2015 einiges gestrichen, darunter das verpflichtende Qualitätsmanagement-Handbuch und den Beauftragten der obersten Leitung. Wer vor 2015 gelernt hat und seither nicht nachgelesen hat, verlangt beides weiter. Ich höre das bis heute regelmäßig.

Die dritte Quelle sind Kundenforderungen, die als Normforderung auftreten. Ein großer Kunde schreibt in seine Lieferantenvorgaben etwas hinein, das im Laufe der Jahre zur vermeintlichen Norm mutiert. Diese dritte Quelle ist die interessanteste, denn hier ist die Forderung oft tatsächlich bindend, nur eben nicht aus der Norm heraus, sondern aus dem Vertrag.

Für Sie als Auditierte ändert die Herkunft nichts an der Frage. Sie lautet immer gleich: Wo steht das? Erst die Antwort entscheidet, ob Sie es tun müssen, tun wollen oder gar nicht tun.

Die Rückseite: manchmal steht es doch drin, nur woanders

Jetzt der Teil, der diesen Artikel davor bewahrt, eine Anleitung zum Rechthaben zu werden. In vielen Fällen hat der Auditor recht, und die Fundstelle liegt nur nicht dort, wo Sie suchen. Auditkriterien sind nach ISO 19011, Begriff 3.8, nicht nur Normanforderungen, sondern ausdrücklich auch Richtlinien, Verfahren, Arbeitsanweisungen, gesetzliche Anforderungen und vertragliche Verpflichtungen. Und für Zertifizierungsaudits schreibt ISO/IEC 17021-1 in Klausel 9.2.1.4 vor, dass die Auditkriterien die vom Kunden selbst entwickelten Prozesse und Dokumente einschließen müssen.

Im Klartext: Steht in Ihrer eigenen Verfahrensanweisung, dass interne Auditoren einen Lehrgang besuchen, dann gilt das. Nicht weil die ISO 9001 es verlangt, sondern weil Sie es verlangt haben. Dieselbe Mechanik greift bei Ihrem dreijährigen Rundlauf: Sobald er in Ihrem Auditprogramm steht, ist er Ihre Festlegung, und ein ausgefallener Bereich ist eine Abweichung gegen Ihre eigene Planung.

Deshalb hat die Frage nach der Fundstelle immer zwei mögliche Ausgänge, und beide sind wertvoll. Entweder die Forderung hat keinen Maßstab, dann ist sie erledigt. Oder sie hat einen, und Sie lernen dabei, was Sie sich selbst irgendwann einmal aufgeschrieben haben. In der Hälfte der Fälle, die ich erlebt habe, war es das Zweite, und niemand im Raum wusste davon.

Für KI-Managementsysteme gilt das eins zu eins. ISO/IEC 42001 formuliert in Klausel 9.2.2 dieselbe Auswahlregel für Auditoren wie die ISO 9001, nämlich Objektivität und Unparteilichkeit, und in 7.2 dieselbe Kompetenzregel mit Ausbildung, Schulung oder Erfahrung. Weil das Thema neu ist und gerade jeder etwas dazu sagt, ist die Wahrscheinlichkeit hier allerdings höher, dass eine Forderung an Sie herangetragen wird, die nirgends steht. Die Gegenprobe ist dieselbe, und sie dauert immer noch zehn Sekunden.

Ein letzter Hinweis für den Fall, dass die Forderung trotzdem als Abweichung im Bericht landet: Jeder Zertifizierungsstelle liegt ein Einspruchsverfahren zugrunde, und es zu nutzen ist kein Affront. Sie brauchen dafür nichts weiter als den Satz, dass Sie die Fundstelle nicht finden können, und die Bitte, sie zu benennen. Wer sauber arbeitet, benennt sie oder nimmt die Feststellung zurück.