Auditprogramm für Lieferanten: wen prüfen Sie zuerst?

Die Frage kommt in fast jedem Erstgespräch, meistens in der ersten Viertelstunde. Wir haben ein paar hundert Lieferanten. Wo fangen wir an? Und die ehrliche Antwort ist unbequem: nicht bei A. Sie fangen bei dem an, dessen Ausfall Sie am teuersten zu stehen kommt. Alles andere ist Beschäftigung. Ich habe Lieferantenaudits in fünf Branchen und fünf Ländern gefahren, und der Unterschied zwischen einem Programm, das etwas bringt, und einem, das nur Reisekosten erzeugt, liegt fast immer in der Reihenfolge.

Ein Auditprogramm ist kein Auditplan

Diese beiden Begriffe werden ständig verwechselt, und die Verwechslung kostet Geld. Der Auditplan gehört zu einem einzelnen Audit: Wer wird wann interviewt, welche Bereiche werden angesehen, wie lange dauert es. Das Auditprogramm liegt eine Ebene darüber. Es umfasst alle Audits, die Sie über einen Zeitraum fahren, mit Zielen, Ressourcen, Zuständigkeiten und den Risiken, die dabei entstehen.

ISO 19011 führt die Steuerung des Auditprogramms in Abschnitt 5, von den Programmzielen über die Bewertung der Programmrisiken bis zu Überwachung und Verbesserung in 5.6 und 5.7. Die Norm ist seit dem 27. Mai 2026 in vierter Ausgabe erschienen und ersetzt die Fassung von 2018. Beim Stichwort Fernaudit lohnt ein genauer Blick, weil das gerade verkürzt wiedergegeben wird: Fernaudits standen schon 2018 im Anhang. Geändert hat sich der Blickwinkel. Abschnitt A.16 hieß 2018 „Auditing virtual activities and locations“ und heißt jetzt „Using remote auditing methods“. Aus dem Prüfgegenstand ist die Prüfmethode geworden. Für Lieferantenaudits ist das kein Randthema: Wenn Zulieferer in anderen Ländern sitzen, entscheidet die Frage, was Sie aus der Ferne belastbar prüfen können und was nicht, über einen erheblichen Teil Ihres Budgets.

Wer nur Termine plant, hat einen Kalender. Wer ein Programm hat, kann begründen, warum ein Lieferant dieses Jahr drankommt und ein anderer nicht. Und Sie stehen damit nicht allein da: Der informative Anhang A der Norm führt mit A.12 einen eigenen Abschnitt zum Audit der Lieferkette, in beiden Ausgaben.

Eine Frage, die am Anfang geklärt gehört und es selten ist: Wem gehört das Programm? In vielen Betrieben sitzt die Verantwortung zwischen Einkauf, Qualitätsmanagement und IT-Sicherheit, und damit nirgends. Der Einkauf kennt die Verträge, das Qualitätsmanagement kennt die Methode, die IT kennt die Schnittstellen. Alle drei werden gebraucht, aber einer muss das Programm führen und Nein sagen dürfen, wenn ein Termin aus Bequemlichkeit vorgezogen werden soll. Ohne diese Person wird aus dem Programm nach zwei Quartalen wieder eine Terminliste. Die Norm sieht das genauso: 5.4.1 regelt die Rollen und Verantwortlichkeiten derjenigen, die das Auditprogramm führen, 5.4.2 deren Kompetenz.

Warum die Gießkanne rechnerisch scheitert

Rechnen Sie es einmal durch, dann erledigt sich die Diskussion von selbst. Ein ordentliches Lieferantenaudit kostet Sie grob einen Tag Vorbereitung, einen Tag Durchführung und einen halben Tag Bericht und Nachverfolgung. Bei dreihundert Lieferanten sind das siebenhundertfünfzig Personentage. Ein Arbeitsjahr hat rund zweihundert. Sie bräuchten also fast vier Vollzeitkräfte, die nichts anderes tun.

Das genehmigt niemand, und das ist auch richtig so. Es heißt aber: Sie wählen ohnehin aus. Die einzige offene Frage ist, ob Sie bewusst auswählen oder zufällig. Zufällig heißt in der Praxis meistens: Der Lieferant kommt dran, der gerade Ärger gemacht hat, oder der, dessen Ansprechpartner am freundlichsten ist. Beides sind schlechte Kriterien.

Das häufigste Ersatzkriterium ist das Einkaufsvolumen. Man nimmt die ABC-Analyse aus dem Einkauf und prüft die A-Lieferanten. Das ist besser als nichts und trotzdem falsch, denn Umsatz und Schaden sind zwei verschiedene Dinge. Der Zulieferer, bei dem Sie jährlich einen sechsstelligen Betrag lassen, ist oft austauschbar. Der kleine Dienstleister, der für ein paar hundert Euro im Monat Ihre Fernwartung macht und dafür Zugriff auf die Steuerung hat, taucht in keiner ABC-Analyse auf. Er ist trotzdem das größere Risiko. Sortieren Sie nach Schaden, nicht nach Rechnung.

Die vier Fragen, nach denen ich sortiere

Ich brauche dafür keine Software und keine Bewertungsmatrix mit zwanzig Feldern. Vier Fragen reichen, und Sie können sie für jeden Lieferanten in wenigen Minuten beantworten.

Die dritte Frage ist die, die im Mittelstand am häufigsten übersehen wird. Artikel 25 der KI-Verordnung trägt die Überschrift „Verantwortlichkeiten entlang der KI-Wertschöpfungskette“ und regelt unter anderem, wann ein Händler, Einführer oder Betreiber selbst als Anbieter eines Hochrisiko-Systems gilt. Das kann passieren, ohne dass jemand im Haus es merkt: Ein zugekauftes System wird unter eigenem Namen weitergegeben oder für einen anderen Zweck eingesetzt als vorgesehen. Wer seine KI-Zulieferer nicht kennt, kennt seine eigene Rolle nicht.

Aus den vier Antworten wird eine Rangfolge, und dafür brauchen Sie keine Punkteskala mit Nachkommastellen. Ich arbeite mit drei Stufen je Frage: hoch, mittel, gering. Wer zweimal hoch hat, kommt in die erste Gruppe und wird vor Ort geprüft. Wer einmal hoch hat, kommt in die zweite Gruppe, dort reicht zunächst eine Dokumentenprüfung mit gezielten Rückfragen. Alles andere wird beobachtet und bei der nächsten Runde neu bewertet. Drei Gruppen sind genug, um zu entscheiden, und grob genug, dass niemand über Kommastellen diskutiert.

Ein Hinweis aus der Praxis: Machen Sie die Einstufung mit dem Einkauf zusammen und in einem Termin, nicht per Umlauf. Die interessanten Sätze fallen im Gespräch. „Den können wir sowieso nicht ersetzen“ ist eine Antwort auf Frage vier, und sie steht in keinem Formular.

Der Vorlauf am Schreibtisch spart den Reisetag

Bevor jemand ins Auto steigt, wird geprüft, was ohne Anreise prüfbar ist. Das ist kein Sparprogramm, das ist Methode: Die Dokumentenprüfung sagt Ihnen, ob ein Vor-Ort-Termin überhaupt lohnt, und sie sagt Ihnen, worauf Sie vor Ort zielen.

• Zertifikat und Geltungsbereich, nicht nur das Zertifikat. Dazu gleich mehr.
• Der Auftragsverarbeitungsvertrag, falls personenbezogene Daten im Spiel sind, samt Liste der Unterauftragnehmer.
• Die Zusammenfassung des letzten externen Audits, mindestens die Zahl und Art der Abweichungen.
• Das Löschkonzept und die Zusage, wie am Auftragsende gelöscht und wie das nachgewiesen wird.
• Bei KI-Diensten: Modellherkunft, Versionierung und die Frage, wo protokolliert wird.

Wenn davon nichts kommt oder wochenlang nichts kommt, haben Sie Ihr Ergebnis bereits. Ein Lieferant, der seine eigenen Unterlagen nicht innerhalb von zwei Wochen findet, hat kein Managementsystem, sondern einen Ordner.

Kommen die Unterlagen, lesen Sie die Auditzusammenfassung anders, als die meisten es tun. Die Zahl der Abweichungen sagt wenig. Interessant ist, wo sie sitzen und was daraus geworden ist. Null Abweichungen über drei Jahre sind kein gutes Zeichen, sondern ein Hinweis darauf, dass oberflächlich geprüft wurde. Wiederkehrende Abweichungen in derselben Klausel sind ein Befund, auch wenn jede einzelne formal geschlossen wurde: Dann wirkt die Korrektur, aber die Ursache nicht. Und wenn Korrekturmaßnahmen regelmäßig in Schulungen enden, hat die Organisation ein Muster, das Sie kennen sollten, bevor Sie ihr etwas anvertrauen.

Der Fehler, den ich am häufigsten sehe

Es wird ein Zertifikat vorgelegt, alle sind zufrieden, niemand liest den Geltungsbereich. Das ist der teuerste Irrtum im ganzen Lieferantenwesen.

Ein Zertifikat belegt, dass ein Managementsystem in einem festgelegten Geltungsbereich die Anforderungen erfüllt. Es belegt nicht, dass genau die Leistung, die Sie einkaufen, in diesem Geltungsbereich liegt.

Ich habe erlebt, dass ein Zertifikat den Verwaltungsstandort abdeckte, während die Leistung, um die es ging, an einem anderen Ort erbracht wurde, der im Geltungsbereich nicht auftauchte. Auf dem Papier war alles in Ordnung. Geprüft worden war etwas anderes. Deshalb steht die Frage nach dem Geltungsbereich bei mir immer vor der Frage nach dem Zertifikat.

Der zweite häufige Fehler ist der Selbstauskunftsbogen als Ersatz für das Audit. Ein ausgefüllter Fragebogen ist eine Behauptung des Lieferanten über sich selbst. Er ist ein guter Filter und ein schlechter Nachweis. Wer ihn als Nachweis führt, hat die Prüfung an den Geprüften delegiert.

Bei KI-Lieferanten kommt ein dritter dazu, und der ist neu genug, dass ihn viele noch nicht auf dem Zettel haben. Die üblichen Fragen zielen auf den Zustand: Welche Zertifikate, welche Server, welche Verschlüsselung. Bei einem KI-Dienst reicht das nicht, weil sich das Verhalten ändern kann, ohne dass jemand einen Vertrag anfasst. Ein Modellwechsel, ein neuer Systemprompt, eine andere Version im Hintergrund, und die Ausgabe ist eine andere als bei Ihrer Abnahme. Fragen Sie deshalb nach dem Änderungsverfahren: Wer entscheidet über einen Modellwechsel, werden Sie vorher informiert, und lässt sich im Nachhinein feststellen, welche Version an einem bestimmten Tag geantwortet hat. Wenn ein Anbieter darauf keine Antwort hat, können Sie sein Ergebnis nicht reproduzieren. Und was Sie nicht reproduzieren können, können Sie nicht nachweisen.

Wie das Programm am Leben bleibt

Ein Auditprogramm, das einmal aufgesetzt und dann abgearbeitet wird, ist nach einem Jahr falsch. ISO 19011 widmet dem zwei eigene Abschnitte: 5.6 der Überwachung des Programms, 5.7 seiner Bewertung und Verbesserung. Praktisch heißt das zweierlei.

Erstens: Nach jedem Audit wird die Einstufung des Lieferanten nachgezogen. Wer bei der Dokumentenprüfung schon nichts geliefert hat, steigt in der Priorität, unabhängig von seiner Größe. Zweitens: Neue Lieferanten werden eingestuft, bevor der erste Auftrag rausgeht, nicht danach. Der Zeitpunkt mit dem größten Hebel ist der, an dem Sie noch nein sagen können.

Zum Rhythmus werde ich oft gefragt, und die ehrliche Antwort lautet: Er ergibt sich aus der Einstufung, nicht aus dem Kalender. Erste Gruppe alle ein bis zwei Jahre vor Ort, zweite Gruppe jährlich am Schreibtisch, dritte Gruppe anlassbezogen. Anlass heißt: ein Vorfall, ein Wechsel des Unterauftragnehmers, eine neue Leistung, ein Eigentümerwechsel oder ein KI-System, das plötzlich mehr entscheidet als vorher. Ein fester Dreijahreszyklus für alle sieht ordentlich aus und trifft die Falschen zum falschen Zeitpunkt.

Und halten Sie fest, warum jemand nicht geprüft wurde. Das klingt nach Bürokratie, ist aber Ihre Rückendeckung. Wenn etwas passiert, lautet die Frage nicht, ob Sie alle geprüft haben. Sie lautet, ob Ihre Auswahl nachvollziehbar war.

Ein letzter Gedanke. Die Reihenfolge ist keine Formalie, sie ist die eigentliche Leistung des Programms. Zehn Audits bei den richtigen Lieferanten bringen mehr als hundert bei den falschen. Und die richtigen erkennen Sie nicht am Umsatz, den Sie mit ihnen machen, sondern an dem Schaden, den sie anrichten können.