Gemäß oder in Anlehnung an: ein Wort, zwei Auditumfänge

In jeder zweiten Verfahrensanweisung, die ich zu sehen bekomme, steht ein Satz wie dieser: Interne Audits werden gemäß ISO 19011 durchgeführt. Der Satz sieht harmlos aus. Er ist der teuerste in der ganzen Anweisung. Wer ihn schreibt, hat seinen eigenen Prüfumfang erweitert, ohne es zu merken, und der Zertifizierer darf ihn beim Wort nehmen. Zwei Wörter Unterschied entscheiden darüber, wogegen im nächsten Audit gemessen wird.

Der Zertifizierer prüft nicht nur die Norm

Die meisten gehen davon aus, dass in einem Zertifizierungsaudit die Norm geprüft wird und sonst nichts. Das ist falsch, und zwar nachweisbar falsch. Zertifizierungsstellen arbeiten nach ISO/IEC 17021-1, das ist die Norm, gegen die sie selbst akkreditiert werden. Deren Klausel 9.2.1.4 legt fest, woraus die Auditkriterien bestehen müssen, und nennt dafür zwei Quellen: die Anforderungen des zugrunde gelegten Normdokuments und die Prozesse sowie die Dokumentation des Managementsystems, die die auditierte Organisation selbst entwickelt hat. Das ist kein Ermessen des Auditors. Die Klausel ist als Muss formuliert.

Dieselbe Linie zieht ISO 19011. Begriff 3.8 definiert Auditkriterien als einen Satz von Anforderungen, gegen den objektive Nachweise gehalten werden. Die zweite Anmerkung dazu zählt auf, was alles eine solche Anforderung sein kann, und dort stehen ausdrücklich Richtlinien, Verfahren und Arbeitsanweisungen neben gesetzlichen Anforderungen und Verträgen. Begriff 3.24 macht es endgültig eindeutig: Eine festgelegte Anforderung ist eine, die festgelegt wurde, zum Beispiel in dokumentierter Information.

Ihre eigene Verfahrensanweisung ist Auditkriterium. Nicht, weil ein Auditor streng ist, sondern weil es so in der Akkreditierungsnorm steht.

Daraus folgt etwas, das im Alltag regelmäßig übersehen wird: Sie schreiben Ihren eigenen Prüfmaßstab mit. Jeder Satz in Ihrer Dokumentation, der eine Festlegung trifft, wird im Audit zu einer Frage. Wer schreibt, dass Lieferanten jährlich bewertet werden, wird gefragt, wo die Bewertung des Vorjahres liegt. Wer schreibt, dass jede Schulung mit einer Wirksamkeitskontrolle endet, wird nach der Kontrolle gefragt. Das ist keine Schikane. Das ist genau der Vorgang, den ein Audit beschreibt.

Die Sache hat aber auch eine Rückseite, und die arbeitet für Sie. Eine Auditfeststellung ist nach ISO 19011, Begriff 3.11, das Ergebnis der Bewertung von Nachweisen gegen Auditkriterien. Ohne Kriterium also keine Feststellung. Wenn ein Auditor etwas beanstandet, was weder in der Norm noch in Ihrer eigenen Dokumentation steht, dann fehlt der Maßstab, und die Beanstandung trägt nicht. Die passende Reaktion darauf ist keine Diskussion, sondern eine freundliche Frage: Gegen welches Kriterium genau ist das eine Abweichung? Wer seine eigenen Unterlagen kennt, kann diese Frage ohne Ärger stellen. Wer sie nicht kennt, diskutiert über Meinungen.

Genau deshalb ist das Aufräumen der eigenen Formulierungen keine Fleißaufgabe für die Dokumentenlenkung, sondern Vorbereitung auf das nächste Audit. Sie legen damit fest, worüber gesprochen wird. Alles, was Sie zusagen, können Sie belegen; alles, was Sie nicht zugesagt haben, braucht kein Nachweis zu sein. Beides zusammen ist der Unterschied zwischen einem Audit, das Ihnen etwas bringt, und einem, das Sie aussitzen.

ISO 19011 ist ein Leitfaden, kein Anforderungskatalog

Jetzt kommt der Teil, der die Sache erst teuer macht. ISO 19011 liegt seit Mai 2026 in der vierten Ausgabe vor, sie ersetzt die Fassung von 2018 und ist technisch überarbeitet; erweitert wurden vor allem die Hinweise zu Remote-Audits und der Anhang A um virtuelle Standorte. Wichtiger als jede dieser Änderungen ist aber die erste Zeile des Anwendungsbereichs, und die lautet seit jeher gleich: Das Dokument gibt Anleitung. Es ist ein Leitfaden.

Ein Leitfaden enthält Empfehlungen, keine Anforderungen. Deshalb kann Sie niemand nach ISO 19011 zertifizieren, und deshalb kann auch niemand eine Abweichung gegen ISO 19011 schreiben. Es gibt dort nichts zu erfüllen. Solange Sie die Norm als das behandeln, was sie ist, ist sie unverbindlich und trotzdem nützlich.

In dem Moment, in dem Sie „gemäß“ schreiben, kippt das. Sie ziehen die Empfehlungen des Leitfadens in Ihre eigene dokumentierte Information und machen sie damit zu Ihrer Anforderung. Der Auditor prüft danach nicht die Norm, er prüft Ihre Zusage. Und Ihre Zusage lautet dann sinngemäß: Wir halten alles ein, was dort empfohlen wird. Was dadurch fällig werden kann, ist eine ganze Liste:

• ein Auditprogramm mit festgelegten Zielen, nicht nur ein Jahresplan mit Terminen
• die Risiken und Chancen des Auditprogramms bewertet und dokumentiert
• Kompetenzkriterien je Auditor festgelegt, bewertet und aufrechterhalten
• das Auditprogramm überwacht, bewertet und verbessert, mit Nachweis darüber
• Auditberichte mit den Inhalten, die der Leitfaden dafür vorsieht

Nichts davon ist unvernünftig. Ein Betrieb, der sein Auditprogramm so führt, führt es gut. Der Punkt ist ein anderer: Es muss Ihre Entscheidung sein und nicht das Nebenprodukt einer Formulierung, die jemand vor vier Jahren aus einer Vorlage übernommen hat. Wer zusagt, muss liefern können.

Was die beiden Formulierungen wirklich unterscheiden

„Gemäß“ ist eine Konformitätsaussage. Sie behaupten damit Übereinstimmung mit einem Dokument, und zwar mit dem ganzen. „In Anlehnung an“ ist eine Herkunftsangabe. Sie sagen damit, woher Sie Ihre Systematik haben, ohne sich auf jede einzelne Empfehlung festzulegen. Beides ist legitim. Nur bedeutet es eben etwas anderes, und genau das ist der Unterschied, den kaum jemand bewusst trifft.

Am einfachsten sieht man es an drei Sätzen, die dasselbe Verfahren beschreiben und drei verschiedene Prüfumfänge erzeugen:

• Interne Audits werden gemäß ISO 19011 durchgeführt. Der Auditor darf jede Empfehlung des Leitfadens als Ihre Festlegung behandeln.
• Interne Audits werden in Anlehnung an ISO 19011 durchgeführt. Der Auditor prüft, was Sie sonst noch festgelegt haben, nicht den Leitfaden.
• Die Auditplanung folgt der Systematik aus ISO 19011, Abschnitt 5. Die Kompetenzbewertung regelt Anweisung QM-07. Sie benennen, was Sie übernehmen, und der Prüfumfang steht fest.

Die dritte Variante ist die, die im Audit am besten trägt, und sie ist zugleich die ehrlichste. Sie sagt, welchen Teil Sie sich zu eigen machen, statt pauschal auf ein Dokument zu zeigen, das siebzig Seiten hat. Dasselbe gilt für alles andere, was in Ihren Unterlagen mit „gemäß“ anfängt: Rechtsnormen, Kundenvorgaben, Branchenregeln. Wer den Maßstab nennt, sollte ihn vorher gelesen haben.

Ein Nebeneffekt, den man leicht übersieht: Das Wort steht nicht nur in der Verfahrensanweisung. Es steht in Angeboten, in Leistungsbeschreibungen, auf Websites. Und vertragliche Verpflichtungen sind nach ISO 19011, Begriff 3.8, ebenfalls Auditkriterien. Was Sie einem Kunden zusagen, kann Ihnen im Second-Party-Audit desselben Kunden wieder begegnen.

Bei KI-Managementsystemen wird es schneller teuer

Für ISO/IEC 42001 gilt dieselbe Mechanik, nur mit einem Unterschied: Der Stoff ist neu, und die Unterlagen werden gerade erst geschrieben. Fast jeder Betrieb, der ein KI-Managementsystem aufbaut, legt nach Anhang A.2.2 eine KI-Richtlinie an. Was in dieser Richtlinie steht, ist ab dem Tag der Freigabe Auditkriterium. Wer dort hineinschreibt, dass jeder KI-Einsatz vorab bewertet wird, hat eine Vorabbewertung zugesagt, und zwar für jeden Einsatz, auch für den, an den beim Schreiben niemand gedacht hat.

Dazu kommt eine Besonderheit der Norm, die den Effekt verstärkt. Klausel 6.1.3 verlangt eine Erklärung zur Anwendbarkeit: eine Aufstellung der notwendigen Maßnahmen mit der Begründung, warum sie aufgenommen oder ausgeschlossen wurden. Diese Erklärung ist die dichteste Sammlung von Selbstverpflichtungen, die ein Managementsystem hervorbringt. Jede Zeile darin ist eine Zusage, und jede Zusage ist prüfbar. Ich habe noch kein Audit erlebt, in dem sie nicht aufgeschlagen wurde.

Und dann ist da noch der Satz, den man inzwischen auf vielen Anbieterseiten liest: Unser System ist gemäß EU AI Act entwickelt. Dieselbe Falle, nur mit Rechtsfolge statt Abweichung. Wer Konformität mit einem Rechtsakt behauptet, muss sie belegen können; und solange keine harmonisierte Norm im Amtsblatt gelistet ist, gibt es dafür nicht einmal die Vermutungswirkung, die sonst weiterhelfen würde. „Wir orientieren uns an den Anforderungen des AI Act“ sagt dasselbe, ohne die Behauptung.

Eine Norm zu nennen kostet nichts. Sie im Wort „gemäß“ zu nennen, kostet den Nachweis.

Was Sie morgen früh in zwanzig Minuten prüfen können

Der Aufwand ist lächerlich klein gemessen an dem, was er verhindert. Suchen Sie in Ihrem Dokumentenlenkungssystem nach den Wörtern „gemäß“ und „entsprechend“, dazu nach jedem Normkürzel, das Sie führen. Das sind in einem mittelständischen System selten mehr als zwanzig bis dreißig Treffer. Gehen Sie sie einzeln durch und stellen Sie drei Fragen:

• Habe ich das Dokument gelesen, auf das ich hier zeige, und zwar in der Fassung, die gerade gilt?
• Kann ich jede Anforderung daraus belegen, wenn morgen jemand danach fragt?
• Wollte ich hier überhaupt Konformität behaupten, oder wollte ich nur sagen, woher meine Systematik stammt?

Bei jedem Treffer, bei dem eine der drei Antworten nein lautet, ändern Sie ein Wort. Aus „gemäß“ wird „in Anlehnung an“, oder Sie benennen den Abschnitt, den Sie tatsächlich übernehmen. Das ist eine Änderung an dokumentierter Information wie jede andere: Fassung hochzählen, freigeben, verteilen. Eine halbe Stunde für den ganzen Bestand ist realistisch.

Ein Fall aus einem Betrieb, den ich begleitet habe, zeigt, wie schnell das kippt. Dort stand in der Auditanweisung der übliche Satz mit „gemäß ISO 19011“. Im Überwachungsaudit fragte der Auditor nach den Kompetenzkriterien für die internen Auditoren, weil der Leitfaden das ausführlich behandelt und die Anweisung ihn in Bezug genommen hatte. Es gab keine. Es gab einen Lehrgangsnachweis von 2019 und guten Willen. Aus einer Formulierung wurde eine Abweichung, und die Ursache war nicht fehlende Kompetenz, sondern ein Wort.

Das Gegenmittel ist unspektakulär und kostet keine Beratung: Nennen Sie in Ihrer Dokumentation nur Maßstäbe, die Sie kennen und halten können. Alles andere gehört in die Begründung, nicht in die Festlegung. Und wenn Sie heute Nachmittag zehn Minuten Zeit haben: Öffnen Sie Ihre Verfahrensanweisung zum internen Audit und lesen Sie den ersten Absatz. Steht dort „gemäß“?