Ein internes Audit ist der Blick des Betriebs auf sich selbst: Wird das Qualitätssystem so gelebt, wie es beschrieben ist, und ist es wirksam? ISO 9001 verlangt in Kapitel 9.2 (Ausgabe 2015) interne Audits nach einem geplanten Programm. Für ein KMU ist es eine der besten Gelegenheiten, Schwachstellen zu finden, bevor es eine Kundschaft oder eine Zertifizierungsstelle tut. Dieser Ratgeber zeigt, wie Sie ein internes Audit planen, wer es durchführen sollte, was mit den Feststellungen geschieht und was der Bericht enthalten soll. Normtext wird nicht wiedergegeben.
Zum Normstand: Am 16. September 2026 ist ISO 9001:2026 erschienen. Die Kapitelnummer 9.2 stammt aus der Ausgabe 2015 (Nummerierung in Ihrer Ausgabe prüfen). Die gelesenen APG-Hilfspapiere beziehen sich auf die Ausgabe 2015. Prüfen Sie Nummern und Anforderungen vor einer Zertifizierung am Normtext.
Wozu interne Audits dienen
Das KMU-Portal des Bundes beschreibt das interne Audit als Überprüfung, ob das Managementsystem in der Praxis richtig und wirksam angewendet wird und ob die festgelegten Verfahren noch der gelebten Praxis entsprechen. Häufig dient es auch der Vorbereitung auf eine Zertifizierung. Nach der Auditing Practices Group (APG, eine informelle Gruppe von Fachleuten aus ISO/TC 176 und dem International Accreditation Forum IAF; ihre Papiere sind von ISO und IAF nicht formell bestätigt) ist es eine Rückmeldung an die oberste Leitung: Es zeigt, wo das System Schwachstellen hat und wo Verbesserungen möglich sind.
Je nach Ziel unterscheidet das Portal das Systemaudit (werden alle Anforderungen erfüllt?), das Prozessaudit (erreicht ein Prozess seine Ziele?), das Produktaudit und das Complianceaudit (werden gesetzliche und vertragliche Vorgaben eingehalten?). Ein internes Audit kann mehrere dieser Blickwinkel verbinden.
Als Leitfaden für das Auditieren kennt die Fachwelt ISO 19011. Die Ausgabe 2018 ist zurückgezogen, seit Mai 2026 gilt die vierte Ausgabe, ISO 19011:2026. Sie behandelt Grundsätze des Auditierens, die Steuerung eines Auditprogramms, die Durchführung von Audits und die Beurteilung der Kompetenz. Die APG hält fest, dass ISO 9001 die Anwendung von ISO 19011 nicht verlangt; sie ist eine Hilfe, keine Pflicht. Kapitelnummern der ISO 19011 nennen wir nicht, weil wir die Ausgabe 2026 nicht eingesehen haben.
Das Auditprogramm: wann was auditiert wird
In der Ausgabe 2015 verlangte die Norm (Kapitel 9.2.2, sinngemäss nach dem Zitat der APG) ein Auditprogramm, das Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung festlegt und dabei die Bedeutung der Prozesse, Veränderungen im Betrieb und die Ergebnisse früherer Audits berücksichtigt. Ob die Ausgabe 2026 hier etwas ändert, prüfen Sie am Normtext. Wie oft und wie lange auditiert wird, schreibt ISO 9001 laut APG nicht vor.
Die APG empfiehlt ein risikobasiertes Vorgehen: Prozesse mit höherem Risiko oder früheren Abweichungen haben im Programm Vorrang, ebenso Bereiche mit kürzlichen Änderungen. Besonders aufmerksam sollte man sein, wo ein Versagen schwere Folgen hätte, wo Kundschaft unzufrieden war oder wo gesetzliche Anforderungen verletzt werden könnten. Die APG-Planungshilfe ist für Zertifizierungsaudits geschrieben, ihre Logik lässt sich aber übertragen. Sie unterscheidet zwei Ebenen: das Programm (welche Audits über den Zyklus hinweg) und den einzelnen Auditplan (wie ein Audit abläuft). Wichtige Bereiche und solche mit kürzlichen Änderungen oder früheren Abweichungen sind zuerst einzuplanen. Sie hält ausserdem fest, dass nicht jeder Bereich jedes Jahr geprüft werden muss, wenn risikobasiert vorgegangen und die Begründung festgehalten wird, und dass ein Programm angepasst werden darf, solange es seinen Zweck erfüllt. Für interne Programme ist das eine Übertragung aus der Praxis, die zur Aussage der APG zu internen Audits passt. Praxis, nicht normativ: Planen Sie nach Prozessen, nicht nach Normkapiteln, und prüfen Sie verbundene Prozesse zusammen, damit Schnittstellen sichtbar werden.
Wer auditiert: Kompetenz und Unabhängigkeit
Die APG schildert, was Zertifizierungsauditoren am internen Audit beurteilen: die Kompetenz der Auditierenden, die Objektivität und Unparteilichkeit des Verfahrens, die Risikoüberlegungen in der Planung, die Beteiligung der Leitung und wie die Ergebnisse genutzt werden. Der Betrieb sollte festgelegt haben, welche Kompetenzen interne Auditoren brauchen, und für Schulung und Beobachtung sorgen.
Zur Unabhängigkeit gilt: Wer die eigene Arbeit auditiert, sieht ihre blinden Flecken kaum. Die APG zitiert dazu eine Empfehlung der ISO 9004, Audits von Personen durchführen zu lassen, die in die geprüfte Tätigkeit nicht eingebunden sind; das ist ausdrücklich keine auditierbare Anforderung der ISO 9001. Praxis, nicht normativ: In kleinen Betrieben bewährt sich das Überkreuz-Audit, bei dem Verantwortliche je den Bereich der anderen prüfen, oder der Beizug einer externen Person.
Das Audit durchführen
Ein gutes Audit stützt sich auf Fragen, die Nachweise verlangen: ein Dokument, eine Aufzeichnung, eine Stichprobe, eine Beobachtung. Wählen Sie die Stichproben so, dass sie etwas aussagen, und halten Sie fest, was Sie gesehen haben, nicht nur, was erzählt wurde. Prüflisten helfen, solange sie die Aufmerksamkeit nicht ersetzen. Bei verbundenen Prozessen lohnt es sich, die Schnittstellen im selben Audit anzusehen. Die APG rät Zertifizierungsauditoren, früh mit der obersten Leitung über Kontext, Ausrichtung und Führung zu sprechen. Das Gespräch lässt sich in einem internen Audit übernehmen. Zertifizierungsauditoren schauen sich das interne Audit gern gegen Ende an, um es mit ihren eigenen Feststellungen zu vergleichen.
Feststellungen und ihre Folgen
Eine Feststellung ist das Ergebnis einer Bewertung der Nachweise. In der Praxis üblich sind Abweichungen, Hinweise, Verbesserungsmöglichkeiten und Stärken. Die Einteilung in Haupt- und Nebenabweichungen ist eine Praxis, die Software und Stellen unterschiedlich ausgestalten; wir können sie aus den gelesenen Quellen nicht als Normvorgabe belegen.
Wichtig ist, was folgt: Jede Abweichung braucht eine verantwortliche Person, eine Frist und später den Nachweis, dass die Massnahme gewirkt hat. Die APG erwartet von Zertifizierungsauditoren, dass sie prüfen, wie das Ergebnis der internen Audits genutzt wird, um die Wirksamkeit des Systems zu beurteilen und Verbesserungen zu erkennen. Ein Audit ohne Folgen ist ein Papier ohne Wert.
Der Auditbericht
Der Bericht fasst zusammen, was geprüft wurde, was gefunden wurde und was daraus folgt. Praxis, nicht normativ: Nennen Sie Umfang, Kriterien, Zeitraum und Auditierende, fassen Sie Gesamteindruck, Stärken und Abweichungen in einer Zusammenfassung zusammen und schliessen Sie mit einem Fazit samt Empfehlung. Er sollte der Leitung dienen und zugleich später als Nachweis taugen.
Praxisbeispiel: Muster Elektrotechnik GmbH
Die Muster Elektrotechnik GmbH ist ein erfundenes Elektroinstallationsunternehmen mit 18 Beschäftigten und sechs aktiven Prozessen: Verkauf, Planung, Montage, Einkauf, Personal und Verbesserung. Die Geschäftsleitung legt ein Auditprogramm 2026 bis 2028 an und gewichtet nach Risiko:
| Jahr | Auditierte Prozesse | Begründung |
|---|---|---|
| 2026 | Montage, Einkauf | die meisten Reklamationen, offene Lieferantenbewertung |
| 2027 | Verkauf, Planung | Schnittstelle zur Montage, neue Offertvorlage |
| 2028 | Personal, Verbesserung | geringeres Risiko, Abschluss des Zyklus |
Damit sind alle sechs Prozesse innerhalb von drei Jahren abgedeckt. Das erste Audit, A-2026-01, findet am 12. November 2026 statt. Die Auditleitung übernimmt die Leiterin Administration, die weder für Montage noch für Einkauf verantwortlich ist; unterstützt wird sie vom Projektleiter Planung. Die Fragen stammen aus den Prozessen und Normkapiteln im Umfang: 14 Fragen. Das Ergebnis: 11 konform, 1 Abweichung, 1 Hinweis und 1 Stärke, zusammen 14 Antworten.
Daraus entstehen drei Feststellungen. Die Abweichung betrifft die Lieferantenbewertung 2026, die nicht durchgeführt wurde: eine Nebenabweichung mit Massnahme, Frist 15. Januar 2027 und Wirksamkeitsprüfung am 31. März 2027. Der Hinweis betrifft eine uneinheitliche Beschriftung von Prüfprotokollen, die Stärke die sorgfältige Übergabe der Montagedokumente. Die Auditleitung schreibt Zusammenfassung und Fazit, die QM-Leitung gibt den Bericht frei, er wird als PDF archiviert. Am 31. März 2027 prüft die Leiterin Administration, ob die Lieferantenbewertung nun läuft.
Checkliste
- Ein Auditprogramm legt fest, welche Prozesse wann auditiert werden, mit Begründung.
- Höhere Risiken, frühere Abweichungen und Änderungen haben Vorrang.
- Alle Prozesse sind im Programmzeitraum abgedeckt oder bewusst begründet ausgelassen.
- Auditierende sind qualifiziert und prüfen nicht die eigene Arbeit.
- Umfang, Kriterien und Termin sind vorab bekannt.
- Die Fragen verlangen Nachweise, nicht nur Auskünfte.
- Jede Abweichung hat Verantwortliche, Frist und Wirksamkeitsprüfung.
- Der Bericht fasst Stärken, Abweichungen und Fazit zusammen.
- Die Leitung kennt die Ergebnisse und nutzt sie in der Managementbewertung.
So löst es KMU | base
Unter Managementsystem › Audits finden Sie die Liste mit den Knöpfen Zertifizierung sowie, für Personen mit dem Recht für Audits, Auditprogramm, Checklisten, Auditoren und Neues Audit. Die Gruppe Managementsystem ist zunächst eingeklappt.
Programm und Planung. Im Auditprogramm über bis zu drei Jahre planen Sie Audits je Jahr und sehen, welche aktiven Prozesse im Zeitraum noch in keinem Audit vorkommen. Audits können intern, extern oder bei Lieferanten stattfinden (Interne, externe und Lieferanten-Audits); Sie erfassen Termin, Umfang, Ziele, Kriterien, Prozesse, Normkapitel, Auditleitung und Auditoren und erhalten eine Auditnummer je Jahr, zum Beispiel A-2026-01.
Auditierende. Die Seite Auditoren zeigt je Person die Qualifikationsnachweise aus dem Kompetenzstamm samt Gültigkeit (Auditoren mit Qualifikation). Ist jemand für einen Prozess im Umfang selbst verantwortlich, weist das System mit einer Meldung darauf hin (Unabhängigkeitsprüfung).
Fragen. Ohne eigene Checkliste entstehen die Fragen beim Vorbereiten aus den Prozessen und Normkapiteln im Umfang. Wiederverwendbare Checklisten pflegen Sie selbst oder erzeugen sie aus gewählten Normkapiteln, wobei eine Prüffrage in eigenen Worten entsteht (Wiederverwendbare Checklisten). Beim Vorbereiten werden die Fragen eingefroren.
Durchführung. Antworten tragen Sie auch ohne Netz ein; beim Wiederverbinden wird synchronisiert, Konflikte entscheiden Sie je Frage selbst (Offline-Erfassung im Audit). Aus einer Antwort «Abweichung» oder «Hinweis» wird mit einem Klick eine Feststellung samt Folgemassnahme (Auditfragen aus dem Umfang und Feststellung mit einem Klick). Abweichungen erzeugen eine Massnahme mit Frist, Hauptabweichungen zusätzlich eine Nichtkonformität (Feststellungen mit Folgen).
Bericht. Sie schreiben Zusammenfassung und Fazit, geben den Bericht frei und erhalten ein PDF, das im Archivkern abgelegt wird (Auditbericht als PDF mit Archiv). Abgeschlossen ist das Audit erst, wenn der Bericht sicher im Archiv liegt; klappt das nicht, bleibt es offen und Sie wiederholen die Freigabe.
Grenzen, die Sie kennen sollten:
- Die Unabhängigkeitsprüfung weist nur darauf hin, dass jemand einen Prozess im Umfang verantwortet. Sie sperrt weder das Audit noch bewertet sie Kompetenz oder Interessenkonflikte darüber hinaus.
- Das Programm umfasst höchstens drei Jahre. Wann und wie oft Sie auditieren, entscheidet die Software nicht.
- Die Feststellungsarten (Hauptabweichung, Nebenabweichung, Hinweis, Verbesserung, Stärke) sind die Einteilung von QMS | base, kein Normtext.
- Für den Bericht müssen alle Fragen beantwortet sein; die Freigabe ist nur mit dem Recht für Audits möglich.
- Die Software prüft nicht die fachliche Qualität einer Feststellung. Das bleibt Sache der Auditierenden.
Die Anleitung zu QMS | base erläutert die Bedienung. Sehen Sie sich die Demo an oder eröffnen Sie ein Testkonto. Bei Fragen hilft die Kontaktseite. Konditionen finden Sie unter Preise.
Quellen
- ISO: ISO 9001:2026, Quality management systems – Requirements (Edition 6, veröffentlicht am 16.09.2026), abgerufen am 27.10.2026.
- ISO: ISO 19011:2026, Guidelines for auditing management systems (Edition 4, 2026-05; Ausgabe 2018 zurückgezogen), abgerufen am 27.10.2026.
- ISO 9001 Auditing Practices Group: Guidance on Internal Audits (Edition 1, Amd 1, 19.07.2020, zur Ausgabe 2015; von ISO und IAF nicht bestätigt), abgerufen am 27.10.2026.
- ISO 9001 Auditing Practices Group: Guidance on Audit Planning (13.01.2017), abgerufen am 27.10.2026.
- KMU-Portal des Bundes (SECO): Auditierung eines Managementsystems, abgerufen am 27.10.2026.
Die Tabellen, Beispiele und Empfehlungen mit dem Vermerk «Praxis» sind redaktionelle Hilfen, kein Normtext. Dieser Ratgeber ersetzt keine Rechts- oder Steuerberatung. Stand der Informationen: 27.10.2026.