Interne Audits nach ISO 9001
Klar geplant, sicher dokumentiert.
Dieser Beitrag zeigt, was die Norm verlangt, woran Audits kippen und was die neue Fassung ändert.
auf
Interne Audits nach ISO 9001
Pflichten, Ablauf, Stolperfallen
13. Oktober 2026Das interne Audit hat in vielen Betrieben einen schlechten Ruf. Es gilt als Pflichttermin vor der Rezertifizierung, abgearbeitet, damit im externen Audit nichts auffällt.
Diese Haltung macht es wertlos.
Richtig angelegt zeigt das interne Audit, wo die Praxis von der Beschreibung abweicht und zwar bevor ein Kunde oder eine Zertifizierungsstelle darauf stößt.
Dieser Beitrag zeigt:
-
was die Norm verlangt
-
woran Audits kippen
-
was die neue Fassung ändert
-
Ein internes Audit prüft, ob das Managementsystem im Alltag so funktioniert, wie es beschrieben ist. Gegenstand ist der Prozess. Die Person, die ihn ausführt, wird nicht bewertet.
-
ISO 9001 fordert Audits in geplanten Abständen und nennt keine Frequenz. Der verbreitete Dreijahreszyklus ist gelebte Praxis. In der IATF 16949 ist er verbindlich.
-
Gefordert ist die Unparteilichkeit des Auditprozesses. Der Satz, dass Auditoren die eigene Arbeit nicht auditieren dürfen, stand in der Fassung 2008 und ist seit 2015 nicht mehr in der Norm.
-
Die ISO 9001:2026 ist am 16. September 2026 erschienen , die deutsche Fassung DIN EN ISO 9001:2026-11 ist seit Anfang Oktober 2026 erhältlich. Zertifikate nach ISO 9001:2015 müssen bis zum 30. September 2029 umgestellt sein.
-
Für Abschnitt 9.2 bringt die Revision wenig Neues. Die Arbeit steckt in den Inhalten, die Ihr Auditprogramm künftig abdecken muss: Klimawandel, Qualitätskultur, getrennte Betrachtung von Risiken und Chancen, dokumentierte Information als Wirksamkeitsnachweis.
Was ISO 9001 in Abschnitt 9.2 fordert
Der Normabschnitt ist kürzer, als viele erwarten. Er verlangt interne Audits in geplanten Abständen. Sie sollen zeigen, ob das Qualitätsmanagementsystem den eigenen Anforderungen und denen der Norm entspricht und ob es wirksam verwirklicht und aufrechterhalten wird.
Sechs Punkte sind gefordert. So stehen sie in der Fassung 2015, die für Ihr Zertifikat bis zur Umstellung maßgeblich bleibt:
Ein oder mehrere Auditprogramme planen, verwirklichen und aufrechterhalten, die Häufigkeit, Methoden, Verantwortlichkeiten sowie Planungs- und Berichtsanforderungen festlegen. Berücksichtigt werden die Bedeutung der Prozesse, Veränderungen mit Auswirkung auf die Organisation und frühere Auditergebnisse.
Für jedes einzelne Audit die Auditkriterien und den Umfang festlegen.
Auditoren auswählen und Audits so durchführen, dass Objektivität und Unparteilichkeit des Auditprozesses sichergestellt sind.
Die Ergebnisse an die zuständige Leitung berichten.
Geeignete Korrekturen und Korrekturmaßnahmen ohne ungerechtfertigte Verzögerung ergreifen.
Dokumentierte Information als Nachweis über die Verwirklichung des Auditprogramms und über die Auditergebnisse aufbewahren.
Bemerkenswert ist, was dort fehlt.
Zwei vermeintliche Vorgaben
Eine Pflichtfrequenz steht nicht in der Norm.
Weder eine jährliche Pflicht noch ein Dreijahreszyklus. Beides ist etablierte Praxis.
Sie dürfen kritische Prozesse häufiger prüfen als unkritische, solange Sie die Frequenz im Auditprogramm nachvollziehbar begründen.
Eine Vorgabe zur Besetzung steht ebenfalls nicht in der Norm.
Der Satz "Auditors shall not audit their own work" stand in Abschnitt 8.2.2 der Fassung 2008. Mit der Fassung 2015 ist er entfallen. Gefordert ist die Unparteilichkeit des Auditprozesses, und die lässt sich auch anders herstellen als über die Auswahl der Person, etwa über eine dokumentierte Gegenprüfung. In der Praxis bleibt die personelle Trennung der einfachere Weg.
IATF 16949: hier ist der Zyklus verbindlich
In der Automobilzulieferung gilt mehr.
Nach IATF 16949 muss der gesamte Geltungsbereich des Qualitätsmanagementsystems innerhalb eines Dreijahres-Kalenderzeitraums auditiert werden, auf Basis eines jährlichen Auditprogramms, das sich an Risiko, Leistungstrends und Kritikalität der Prozesse orientiert. Für Fertigungsprozessaudits gilt derselbe Zeitraum, dazu kommen Produktaudits.
Wer nach IATF zertifiziert ist, hat bei der Frequenz also keinen Spielraum, bei der Intensität schon.
Was die ISO 9001:2026 für interne Audits ändert
13. Oktober 2026Die überarbeitete ISO 9001 ist am 16. September 2026 erschienen, die deutsche Fassung DIN EN ISO 9001:2026-11 ist seit Anfang Oktober 2026 zu beziehen. Für die Umstellung gilt eine Übergangsfrist von drei Jahren: Zertifikate nach ISO 9001:2015 müssen spätestens bis zum 30. September 2029 im Rahmen eines Überwachungs- oder Rezertifizierungsaudits umgestellt sein.
Für Abschnitt 9.2 selbst fällt die Änderung klein aus. Die Zertifizierer nennen als Ergänzung die Festlegung von Zielen im internen Auditprogramm. Neu ist der Gedanke nicht: Der Auditleitfaden ISO 19011 führt die Ziele des Auditprogramms seit 2018 als eigenen Abschnitt. Wer danach plant, hat die Anforderung erfüllt, bevor sie gestellt wurde.
-
Klimawandel als externes Thema, dessen Relevanz für das Managementsystem zu bewerten ist (Abschnitt 4.1 und 4.2)
-
Qualitätskultur und ethisches Verhalten , von der Leitung zu fördern und bei den Mitarbeitenden bewusst zu machen (Abschnitt 5.1.1 und 7.3)
-
Risiken und Chancen getrennt , mit jeweils eigenen Maßnahmen (Abschnitt 6.1.2 und 6.1.3)
-
Qualitätspolitik im Licht von Kontext und strategischer Ausrichtung (Abschnitt 5.2.1 e)
-
Dokumentierte Information als Wirksamkeitsnachweis. Im Audit zählt künftig stärker, was ein Dokument belegt, und weniger, dass es existiert.
Der letzte Punkt kostet die meiste Zeit, und er trifft genau die Stelle, an der interne Audits ohnehin hängen.
Die fünf Phasen eines internen Audits
Ein internes Audit ist ein Ablauf mit fünf Phasen, von denen jede ein belegbares Ergebnis hat.
01
Auditprogramm
Mehrjahresplanung nach Bedeutung und Risiko der Prozesse, Ziele, Methoden und Verantwortlichkeiten festlegen
Ergebnis: Freigegebenes Programm
02
Auditplan
Umfang, Auditkriterien, Termin und Auditoren je Einzelaudit
Ergebnis: Befunde mit Nachweis
03
Durchführung
Eröffnung, Befragung, Beobachtung vor Ort, Prüfung der Nachweise, Abschluss
Ergebnis: Befunde mit Nachweis
04
Bericht
Jeder Befund mit Sachverhalt, Nachweis und Bezug zum Normabschnitt
Ergebnis: Auditbericht an die Leitung
05
Folgemaßnahmen
Korrekturen und Korrekturmaßnahmen mit Termin und Verantwortlichem, danach Prüfung der Wirksamkeit
Ergebnis: Belegte Wirksamkeit
Zwei Hinweise zu Phase 4 und 5.
Die Einteilung in Haupt- und Nebenabweichung verlangt die ISO 9001 nicht. Sie ist Zertifiziererpraxis, und der Auditleitfaden ISO 19011 nennt eine Klassifizierung als Möglichkeit, nicht als Pflicht.
Für das interne Audit heißt das:
Sie entscheiden selbst, wie Sie Befunde gewichten, solange die Gewichtung konsistent ist und die Leitung daraus priorisieren kann.
Phase 5 entscheidet über den Wert des Audits. Eine Maßnahme ist erst abgeschlossen, wenn nachgewiesen ist, dass sie wirkt. Als Nachweis taugt ein Messwert, eine Stichprobe oder ein Folgeaudit. Eine Rückmeldung, dass etwas erledigt sei, taugt nicht.
Woran interne Audits in der Praxis scheitern
Bei externen Zertifizierungen tauchen immer wieder dieselben Schwachstellen auf.
Fehlende Risikoorientierun
Alle Prozesse werden gleich intensiv auditiert, unabhängig von Fehlerhäufigkeit oder Kundenrelevanz. Das Programm ist gleichmäßig und trotzdem unwirksam.
Ungesicherte Unparteilichkeit
Der Auditor prüft einen Bereich, für den er selbst verantwortlich ist, ohne dass eine Gegenprüfung dokumentiert wäre.
Zu allgemeine Berichte
Befunde wie "Dokumentation verbesserungsfähig" sind nicht nachverfolgbar. Ein Befund braucht Sachverhalt, Nachweis und Bezug zum Normabschnitt.
Fehlende Wirksamkeitsprüfung
Die Maßnahme ist umgesetzt und abgehakt, ob sie das Problem gelöst hat, wurde nie geprüft. Dieselbe Abweichung erscheint im Folgejahr.
Kein Anschluss an die Managementbewertung
Die Ergebnisse bleiben im Ordner der QM-Abteilung und erreichen die Leitung nicht als Entscheidungsgrundlage.
Die ersten zwei Punkte sind Planungsfehler und mit einem sauberen Auditprogramm abzustellen. Die letzten drei sind Dokumentationsfehler. Sie entstehen dort, wo Befunde, Maßnahmen und Nachweise in getrennten Dateien liegen.
Nachweise, die einem Audit standhalten
Der Aufwand entsteht selten beim Auditieren selbst. Er entsteht beim Zusammensuchen der Nachweise: Welche Version der Arbeitsanweisung galt im Juni? Wer war damals für die Prüfung qualifiziert? Wo liegen die Messwerte zu dieser Charge?
Der pragmatische Weg dahin
Nachweise entstehen im Fertigungsablauf
Entstehen diese Angaben direkt im Fertigungsablauf, verkürzt sich die Auditvorbereitung erheblich.
i|NORIS®-DMI führt Prüfschritte, Messwerte, Versionsstände und Qualifikationen auftragsbezogen und revisionssicher zusammen. Der Auditor sieht den Nachweis am Ort der Entstehung.
Mehr erfahren: Qualität absichern →
„Seit wir i|NORIS®-DMI benutzen, ist unsere Auditvorbereitung von einer Woche auf wenige Stunden gesunken.“
BIT Analytical Solutions GmbH, Kunde von NORIS-IB
Auch die Dokumentation muss stimmen
Mit digitalen Arbeitsanweisungen ist belegbar, welche Fassung wann gültig war und wer sie quittiert hat. Wie die Ablage dahinter aussehen muss, zeigt unser Beitrag zum Dokumentenmanagement in der Fertigung.
Mehr erfahren: Qualität absichern →
Was die Revision 2026 verändert
Wenn dokumentierte Information die Wirksamkeit belegen soll, reicht eine Liste, die erst nach dem Audittermin gepflegt wird, nicht mehr.
Interne Audits sind ein eigenes Steuerungsinstrument und keine Generalprobe für die Zertifizierungsstelle.
Die Norm lässt bei Frequenz und Besetzung Spielraum und verlangt dafür eine begründete Planung und belegte Wirksamkeit der Maßnahmen.
Der größte Hebel liegt vor und nach der Durchführung: davor in einem Auditprogramm, das sich an Risiko und Bedeutung der Prozesse orientiert, danach in Nachweisen, die im Prozess entstehen.
Häufige Fragen zu internen Audits
Wie oft müssen interne Audits stattfinden?
ISO 9001 nennt keine Frequenz, sondern verlangt geplante Abstände auf Basis der Bedeutung der Prozesse, der Veränderungen und der Ergebnisse früherer Audits. Üblich ist ein Vollzyklus über drei Jahre mit häufigeren Audits in kritischen Bereichen. Nach IATF 16949 ist dieser Zeitraum verbindlich.
Müssen wir unser Auditprogramm wegen der ISO 9001:2026 sofort umstellen?
Nein. Ihr Zertifikat nach ISO 9001:2015 bleibt bis zur Umstellung gültig, spätestens bis zum 30. September 2029. Die Umstellung läuft über ein Überwachungs- oder Rezertifizierungsaudit, den Termin stimmen Sie mit Ihrer Zertifizierungsstelle ab. Sinnvoll ist, Auditziele und die neuen Prüfinhalte schon im nächsten Programm aufzunehmen.
Dürfen wir interne Audits extern vergeben?
Ja. Das Wort intern bezieht sich auf den Auditgegenstand, nicht auf den Auditor. Gerade in kleinen Organisationen, in denen jede Führungskraft für einen Bereich verantwortlich ist, ist ein externer Auditor oft der einfachere Weg zur Unparteilichkeit. Die Verantwortung für Auditprogramm, Ergebnisse und Nachweise bleibt bei Ihnen.
Was unterscheidet Systemaudit, Prozessaudit und Produktaudit?
Das Systemaudit prüft das Managementsystem gegen die Norm. Das Prozessaudit betrachtet einen konkreten Prozess im Detail, im Automotive-Umfeld meist nach VDA 6.3. Das Produktaudit beurteilt das fertige Erzeugnis aus Kundensicht gegen die Spezifikation, etwa nach VDA 6.5.
IHR NÄCHSTER SCHRITT
Erleben Sie, wie i|NORIS®-DMI Ihre Auditnachweise direkt in der Fertigung digitalisiert.
Sehen Sie, wie Sie Dokumentationsaufwand reduzieren und Nachweise revisionssicher direkt im Prozess erfassen.