Bestandsaufnahme oder Audit? Vier Fragen an ein Angebot

Auf meinem Tisch landen in letzter Zeit auffällig viele Angebote, auf denen Audit steht. Ein Workshop mit der Geschäftsführung. Ein Fragebogen an die Fachabteilungen. Ein Reifegradmodell mit Ampelfarben. Das sind alles brauchbare Formate, mit denen man ernsthaft arbeiten kann. Nur sind es keine Audits, und der Unterschied wird genau dann teuer, wenn jemand später das Ergebnis vorlegen will.

Warum das Wort gerade wandert

Der Begriff Audit hat einen Klang, den kein anderes Wort ersetzt. Er verspricht Prüfung statt Meinung. Deshalb wandert er, und im KI-Umfeld wandert er derzeit besonders schnell, weil dort viele Anbieter neu sind und ihre Leistung von Beratung abgrenzen wollen.

Ich halte das in den meisten Fällen nicht für Absicht. Wer eine strukturierte Erhebung durchführt, systematisch fragt und sauber dokumentiert, hat subjektiv das Gefühl, geprüft zu haben. Der Unterschied liegt nicht im Fleiß und nicht in der Sorgfalt. Er liegt in vier Merkmalen, die entweder da sind oder nicht.

Ein Praxisfall aus dem Mittelstand zeigt, wann das kippt. Ein Fertigungsbetrieb hatte für seine KI-Anwendungen eine sehr ordentliche Erhebung machen lassen: alle Systeme erfasst, Verantwortliche benannt, Risiken grob eingeschätzt, am Ende eine Präsentation mit Ampel. Ein gutes Papier, jeden Euro wert. Ein knappes Jahr später fragte ein Großkunde nach dem Nachweis der internen Prüfung. Vorgelegt wurde die Präsentation. Der Kunde wollte wissen, gegen welche Anforderung geprüft worden sei und wer die Nachweise gesehen habe. Auf beides gab es keine Antwort, weil beides nie Teil des Auftrags war. Die Arbeit war nicht schlecht, sie war nur für diesen Zweck nie gedacht.

Vier Fragen, die ein Angebot beantworten muss

Diese vier Fragen können Sie jedem Angebot stellen, bevor Sie unterschreiben. Sie brauchen dafür keine Normkenntnis, nur die Bereitschaft, auf einer klaren Antwort zu bestehen.

• Gegen welches Kriterium wird geprüft? Ein Audit misst gegen etwas Festgelegtes: eine Norm, einen Vertrag, eine Rechtsvorschrift, eine eigene Vorgabe. Steht im Angebot nur, dass der Stand erhoben wird, fehlt der Maßstab. Ohne Maßstab gibt es kein Ergebnis, das jemand anfechten oder bestätigen könnte.
• Was gilt als Nachweis? Ein Audit stützt sich auf objektive Nachweise, also auf Aufzeichnungen, Beobachtungen, Systemauszüge. Eine Auskunft im Gespräch ist ein Hinweis, wo man nachsehen sollte, aber kein Nachweis. Fragen Sie schlicht: Was schauen Sie sich an, und lassen Sie sich zeigen, was Sie behaupten?
• Wer prüft, und was hat diese Person vorher bei Ihnen gebaut? Wer ein System mit aufgesetzt hat, kann es nicht unabhängig beurteilen. Das ist kein Misstrauen gegen die Person, sondern eine Eigenschaft der Konstellation.
• Was steht am Ende, und wie sind die Feststellungen eingeordnet? Ein Auditbericht trennt: Was ist eine Abweichung, was eine Beobachtung, was ein Verbesserungspotenzial. Eine Farbskala ohne diese Trennung sagt nichts darüber, was Sie abstellen müssen und was Sie abstellen könnten.

Wenn ein Anbieter alle vier Fragen ruhig und konkret beantwortet, ist er wahrscheinlich richtig bei Ihnen. Wenn drei davon in allgemeinen Formulierungen enden, haben Sie eine Bestandsaufnahme vor sich. Das ist völlig in Ordnung, solange es auch so auf der Rechnung steht.

Bei der ersten Frage hört man den Unterschied besonders deutlich. Eine schwache Antwort klingt nach Best Practices, aktuellem Stand der Technik oder gängigen Anforderungen. Eine belastbare Antwort nennt ein Dokument, das man aufschlagen kann: ISO/IEC 42001 mit den Klauseln 4 bis 10 und Anhang A, die Anforderungen aus Ihrem Rahmenvertrag mit einem bestimmten Kunden, die Vorgaben Ihrer eigenen KI-Richtlinie in der Fassung vom letzten Quartal. Der Unterschied ist nicht akademisch: Nur gegen ein benanntes Kriterium kann ein Ergebnis überhaupt falsch sein, und nur was falsch sein kann, hat als Aussage einen Wert.

Bei der zweiten Frage hilft ein einfaches Gedankenspiel. Nehmen Sie an, jemand behauptet, jede KI-Ausgabe werde vor dem Versand von einem Menschen freigegeben. Die Bestandsaufnahme hält fest, dass die Fachabteilung das so berichtet hat. Das Audit will sehen, wo diese Freigabe hinterlegt ist: im Protokoll, im Workflow, in der Rollenzuweisung des Systems. Findet sich dort nichts, ist die Aussage nicht widerlegt, sie ist nur unbelegt. Und genau diese Unterscheidung, belegt oder unbelegt, ist der ganze Unterschied zwischen den beiden Formaten.

Die dritte Frage ist die unbequemste

Unabhängigkeit lässt sich nicht durch Sorgfalt ersetzen. ISO 19011 führt sie als eigenes Prinzip, und die vierte Ausgabe von 2026 hat an dieser Stelle etwas Bemerkenswertes getan: Die Ausgabe von 2018 enthielt noch eine ausdrückliche Erleichterung für kleine Organisationen, in denen volle Unabhängigkeit interner Auditoren nicht erreichbar sei. Diese Bezugnahme auf die Größe ist entfallen. Jetzt gilt allgemein, dass dort, wo Unabhängigkeit nicht möglich ist, jede Anstrengung zu unternehmen ist, Voreingenommenheit auszuschließen.

Der Unterschied ist feiner, als er klingt, und er trifft genau die Praxis im Mittelstand. Die Entlastung hängt nicht mehr daran, dass ein Unternehmen klein ist, sondern daran, dass Unabhängigkeit tatsächlich unmöglich ist. Wer zwei Leute hat, die sich gegenseitig prüfen könnten, kann sich nicht auf die Größe berufen.

Für externe Prüfungen zieht ISO/IEC 17021-1 die Linie noch schärfer, und zwar präziser, als die meisten annehmen. Beratung ist danach das Mitwirken am Einrichten, Umsetzen oder Aufrechterhalten eines Managementsystems, etwa das Erstellen von Handbüchern und Verfahren oder das Erteilen konkreter Lösungen. Ausdrücklich keine Beratung ist dagegen, allgemeine Information zu vermitteln, den Zweck von Kriterien zu erklären, Verbesserungsmöglichkeiten zu benennen oder Methoden und Werkzeuge zu erläutern.

Die Grenze verläuft nicht zwischen Reden und Schweigen. Sie verläuft zwischen einer allgemeinen Erklärung und einer Lösung, die auf Ihr Haus zugeschnitten ist.

Das ist der Grund, warum ich selbst nicht baue, was ich später prüfe. Nicht aus Prinzipienreiterei, sondern weil ein Bericht wertlos wird, sobald jemand die Frage stellen kann, ob der Prüfer seine eigene Arbeit bewertet hat.

Was eine Bestandsaufnahme wirklich kann

Jetzt der Teil, der in solchen Texten meistens fehlt. Eine Bestandsaufnahme ist kein schlechteres Audit. Sie ist ein anderes Werkzeug, und für den Einstieg oft das bessere.

Eine Gap-Analyse etwa vergleicht Ihren Ist-Zustand mit den Anforderungen und liefert eine priorisierte Liste: erfüllt, teilweise erfüllt, offen. Sie ist schneller, günstiger und risikoärmer als ein Audit, sie darf Empfehlungen aussprechen, und sie darf sich auf Auskünfte stützen, weil sie nichts belegen muss. Genau deshalb bekommen Sie damit in ein bis drei Wochen eine belastbare Projektplanung, wofür ein Audit gar nicht gedacht ist.

Ein Audit dagegen ist rückwärtsgewandt. Es stellt fest, ob etwas, das es schon gibt, nachweislich funktioniert. Wer noch nichts aufgebaut hat, bekommt aus einem Audit eine lange Liste von Abweichungen und keinen einzigen brauchbaren nächsten Schritt. Ein Audit auf eine leere Organisation loszulassen ist verschwendetes Geld.

Die ehrliche Reihenfolge lautet deshalb fast immer: erst Bestandsaufnahme, dann bauen, dann Audit. Wer die erste Stufe Audit nennt, verkauft nichts Schlechteres, er nimmt nur das Wort für etwas, das später noch gebraucht wird.

Was das falsche Etikett kostet

Solange niemand den Bericht sehen will, fällt der Unterschied nicht auf. Auffallen tut er an vier Stellen, und alle vier kommen später, wenn es unpassend ist.

• Beim internen Audit: ISO/IEC 42001 verlangt in Klausel 9.2, dass die Organisation in geplanten Abständen interne Audits durchführt, und fordert in 9.2.2 ein Auditprogramm samt Aufzeichnung der Ergebnisse. Eine Bestandsaufnahme erfüllt das nicht, und die Zertifizierungsstelle sieht das im Stage-1-Audit sofort.
• Bei der Managementbewertung: Die Leitung soll unter anderem über Auditergebnisse entscheiden. Wer ihr eine Erhebung als Auditergebnis vorlegt, baut die Entscheidung auf eine Grundlage, die keine ist.
• In der Lieferkette: Wenn Ihr Kunde nach dem Nachweis fragt, prüft er, gegen welches Kriterium geprüft wurde und wer geprüft hat. Ein Bericht ohne beides trägt in seinem eigenen Auditprogramm nicht.
• In der Außendarstellung: Mit einem Ergebnis zu werben, das als Audit bezeichnet wird, ohne eines zu sein, ist eine Aussage über eine Eigenschaft der eigenen Leistung. Wettbewerber und Verbände sehen so etwas, und im Zweifel ist es eine irreführende geschäftliche Handlung.

Wenn Sie jetzt einen solchen Bericht in der Schublade haben, ist nichts verloren. Werfen Sie ihn nicht weg, er ist eine brauchbare Grundlage. Sie brauchen nur den zweiten Schritt: das Kriterium festlegen, gegen das geprüft werden soll, für die wichtigsten Aussagen die Nachweise nachziehen und jemanden bestimmen, der den betroffenen Bereich nicht selbst verantwortet. Aus einer guten Erhebung wird so in überschaubarer Zeit ein Audit. Umgekehrt geht es nicht: Aus einem Bericht ohne Kriterium lässt sich nachträglich keines herbeireden.

Wo die Begriffe herkommen

Wer nachlesen will, findet die Bausteine an einer Stelle. ISO 19011 definiert Auditkriterien, Auditnachweis und Auditfeststellung als getrennte Begriffe, und dieses Trio ist die eigentliche Antwort auf die Frage, was ein Audit zum Audit macht: Man vergleicht Nachweise mit Kriterien und nennt das Ergebnis Feststellung.

Ein Hinweis für alle, die aus älteren Unterlagen zitieren: Die Nummerierung hat sich mit der Ausgabe 2026 verschoben. Der Auditnachweis steht dort unter 3.10, die Auditfeststellung unter 3.11. In der Ausgabe von 2018 war 3.10 noch die Auditfeststellung. Wer eine alte Fundstelle übernimmt, zitiert also den falschen Begriff, und das fällt ausgerechnet dem auf, der die Norm selbst aufschlägt.

Für die Unabhängigkeit ist ISO 19011 Abschnitt 4 einschlägig, für externe Zertifizierungsaudits zusätzlich ISO/IEC 17021-1 mit den Abschnitten zu Unparteilichkeit und zur Trennung von Beratung und Audit. Die Pflicht zum internen Audit selbst steht nicht in ISO 19011, sondern in der jeweiligen Managementsystemnorm, für KI-Managementsysteme also in ISO/IEC 42001 Klausel 9.2.

Und wenn Sie nur eine Frage stellen wollen statt vier: Lassen Sie sich sagen, gegen welches Kriterium geprüft wird. Wer darauf keine konkrete Antwort hat, wird auch die anderen drei nicht beantworten können.