Das integrierte Auditprogramm: strategisches Werkzeug zur Optimierung von Managementsystemen.
Was ist ein integriertes Auditprogramm?
Ein integriertes Auditprogramm fasst die internen Audits aller im Unternehmen betriebenen Managementsysteme in einer einzigen, koordinierten Struktur zusammen. Normative Grundlage ist ISO 19011, die Leitlinien für die Auditierung von Managementsystemen definiert.
Warum gewinnt das Thema "integriertes Auditprogramm" 2026 an Bedeutung?
Mit der laufenden Revision von ISO 9001 und ISO 14001 sowie aktuellen Anforderungen zur Nachhaltigkeitsberichterstattung (CSRD, ESRS) stehen Verantwortliche von Managementsystemen vor der Aufgabe, ihre Programme risikobasiert weiterzuentwickeln. Insbesondere ESG-bezogene Prozesse, Governance-Strukturen und nichtfinanzielle Leistungsindikatoren müssen künftig systematischer in interne Auditprogramme integriert werden.
Wie steuern Sie mehrere Managementsysteme effizient mit einem einzigen Auditprogramm?
Organisationen mit mehreren Managementsystemen stehen vor einer wiederkehrenden Herausforderung: Jede Systemdisziplin fordert ihre eigenen Audits, Nachweise und Ressourcen. Wer Qualitätsmanagement (ISO 9001), Umweltmanagement (ISO 14001), Arbeits- und Gesundheitsschutz (ISO 45001) sowie Energiemanagement (ISO 50001) separat auditiert, verschwendet wertvolle Kapazitäten und riskiert inkonsistente Ergebnisse. Das integrierte Auditprogramm, ein einziges, koordiniertes Programm für alle Systemdisziplinen, ist die professionelle Antwort darauf.
Das Auditprogramm ist der strategische Rahmen. Es legt fest, wann, wie oft, durch wen und mit welchem Zeitaufwand interne Audits stattfinden. Das interne Audit selbst ist die konkrete Durchführung: die geplante, systematische Untersuchung eines Prozesses oder Systembereichs gegen definierte Auditkriterien.
Dieser Blogbeitrag fasst die praxisrelevanten Kernaussagen des TÜV Rheinland-Whitepapers „Das Auditprogramm für Integrierte Systemaudits“ zusammen und ergänzt sie um strukturierte Handlungsempfehlungen für Auditprogrammverantwortliche und Qualitätsmanagementbeauftragte.
Das Wichtigste in Kürze (TL;DR)
- Ein integriertes Auditprogramm bündelt alle internen Audits unterschiedlicher Managementsysteme in einem koordinierten Rahmen nach ISO 19011.
- Es spart Ressourcen, verhindert Doppelprüfungen und sorgt für konsistente Ergebnisse über alle Systeme hinweg.
- Jährlich angepasste Planung, passende Auditorenteams und strukturierte Auditdurchführung sichern die Qualität und Aussagekraft der Audits.
- Durch kontinuierliche Überwachung und Verbesserung bleibt das Programm wirksam und unterstützt die Prozessoptimierung.
Was sind die Anforderungen an ein integriertes Auditprogramm nach ISO 19011?
Ein integriertes Auditprogramm ist weit mehr als ein Terminplan für wiederkehrende Managementsystem-Audits. Es ist ein systematisches Steuerungsinstrument zur Bewertung von:
- Konformität
- Wirksamkeit
- Zielerreichung
- Verbesserungsfähigkeit
ISO 19011 fordert einen risikobasierten Ansatz bei der Festlegung von Umfang, Häufigkeit und Methoden der Audits.
Was muss ein IMS-Auditprogramm leisten?
Gemäß ISO 19011 umfasst das Auditprogramm alle Tätigkeiten zur:
- Festlegung von Zielen
- Bestimmung von Umfang und Kriterien
- Auswahl geeigneter Auditoren
- Bereitstellung von Ressourcen
- Überwachung und Verbesserung des Programms
Ein einziges, übergreifendes Auditprogramm für beispielsweise Qualitätsmanagement-, Umweltmanagement- und Energiemanagementsysteme ist in der Praxis häufig effizienter, da es Redundanzen vermeidet.
Normativ vorgeschrieben ist die Integration jedoch nicht; entscheidend ist die Wirksamkeit des gewählten Ansatzes. Die Harmonized Structure (HLS) erleichtert die Integration, da identische Kapitel (z. B. Kontext, Führung, Planung, Bewertung der Leistung) normübergreifend strukturell gleich aufgebaut sind.
Welche Faktoren bestimmen Umfang und Komplexität?
- Organisationsgröße und Internationalisierung: Je mehr Standorte und Mitarbeitende, desto höher der Bedarf an strukturierten Stichprobenverfahren.
- Anzahl und Reifegrad der Managementsysteme: Systeme im ersten Zertifizierungszyklus benötigen mehr Audittiefe als eingespielte Systeme.
- Risiken und ausgelagerte Prozesse: Ausgelagerte Kernfunktionen (z. B. Vertrieb, Buchhaltung) müssen gemäß ISO 9001:2015 Kap. 8.4 in die Auditstichprobe einbezogen werden.
- Compliance-Verpflichtungen: Gesetzliche und normative Anforderungen (national und international) prägen den Pflichtumfang des Programms erheblich.
- Risikoprofil der Organisation: Strategische, operative und compliance-bezogene Risiken bestimmen Prioritäten, Auditfrequenzen und Prüftiefen innerhalb des Auditprogramms.
- Ergebnisse vorangegangener Audits: Trendanalysen, wiederkehrende Abweichungen und systemische Schwachstellen beeinflussen die Schwerpunktsetzung und Intensität zukünftiger Audits.
- Bedeutung externer interessierter Parteien: Anforderungen und Erwartungen von Kunden, Behörden, Eigentümern oder anderen Stakeholdern wirken sich auf Umfang, Kriterien und Risikobewertung des Auditprogramms aus.
Entscheidende Grundfrage: Was will die Organisation mit ihrem Auditprogramm erreichen? Die Antwort darauf müssen Auditprogrammziele sein, die aus der Unternehmensstrategie abgeleitet und von der obersten Leitung getragen werden.
Das Auditprogramm aufsetzen: Sechs Fragen, die Sie sich stellen müssen
Die Planung eines integrierten Auditprogramms beginnt mit einer nüchternen Bestandsaufnahme der vorhandenen Managementsysteme und ihrer Reife. Sechs Leitfragen strukturieren den Prozess:
- Welche Systeme sind integriert? QMS, UMS, SGA-MS, EMS, etc. und in welchem Verhältnis stehen sie zueinander.
- Wie komplex und ausgereift sind die Systeme? Ein Bürostandort ohne Umweltrelevanz benötigt ein anderes Auditprogramm als ein Chemiewerk.
- Muss jedes Thema jährlich auditiert werden? Bei stabilen, reifen Systemen ist eine zeitlich gestaffelte Stichprobenstrategie legitim.
- Welche Auditmethoden kommen zum Einsatz? Vor-Ort-Audits bleiben der Standard, Remote-Audits sind für entfernte Nebenstandorte zunehmend eine sinnvolle Ergänzung.
- Welche Auditoren werden benötigt? Fachkompetenz je Systemdisziplin ist zwingend; ein QMS-Auditor ist nicht automatisch für ISO 45001 qualifiziert.
- Welche Ressourcen stellt die Leitung bereit? Zeit, Budget, Freistellungen und IT-Infrastruktur sind zu planen und verbindlich zuzusagen.
Diese sechs Fragen sind keine Checkliste, die einmal abgearbeitet wird. Sie sind der jährliche Prüfrahmen für den Auditprogrammverantwortlichen. Organisationen verändern sich: Standorte kommen hinzu, Systeme reifen, gesetzliche Anforderungen verschärfen sich. Ein Auditprogramm, das vor drei Jahren sinnvoll aufgesetzt wurde, kann heute strukturell unterversorgt sein.
Auditzeitbemessung: Wie viel Zeit braucht ein internes IMS-Audit?
Eine häufige Schwachstelle ist eine zu knapp bemessene Auditzeit. Als Referenz für Zertifizierungsaudits dient IAF MD 5. Für interne Audits existiert keine normative Multiplikationsvorgabe.
Best Practice aus Zertifizierungs- und Beratungserfahrung: Interne Audits benötigen häufig mehr Zeit als externe Re-Zertifizierungsaudits, da
- interne Auditoren meist nicht hauptberuflich auditieren,
- Verbesserungspotenziale systematisch identifiziert werden sollen,
- vertiefte Prozessanalysen stattfinden.
Orientierungswert: In vielen Organisationen liegt der interne Auditzeitbedarf bei etwa 1,5–2,5 des externen Re-Zertifizierungsaufwands. Dieser Wert ist jedoch organisationsspezifisch zu validieren.
Für integrierte Systeme werden Auditzeiten nicht einfach addiert. Gemeinsame Kapitel der Harmonized Structure können in einem integrierten Audit geprüft werden – sofern dabei sämtliche normenspezifischen Anforderungen vollständig und nachvollziehbar berücksichtigt werden.
Auditoren auswählen: Welche Kriterien sind im IMS wirklich entscheidend?
Die qualitativ beste Auditplanung scheitert an ungeeigneten oder überlasteten Auditoren. ISO 19011 gibt keine Formel für die Auditorenkapazität vor, nennt aber klare Grundsätze, die in der IMS-Praxis direkt anwendbar sind.
Wie viele Auditoren braucht ein IMS?
- Bis zu 2 Systeme: Ein einzelner Auditor kann alle Auditkriterien abdecken, sofern er die erforderliche Fachkompetenz für beide Disziplinen besitzt.
- Ab 3 Systemen: Mit zunehmender Anzahl von Systemnormen steigt die Wahrscheinlichkeit, dass ein einzelner Auditor nicht alle erforderlichen Fachkompetenzen abdecken kann. In solchen Fällen ist ein multidisziplinäres Auditteam zweckmäßig. Entscheidend ist nicht die Anzahl der Normen, sondern Kompetenzabdeckung, Komplexität, Standortstruktur und Auditumfang.
- Mindestauditzeit pro Auditor: 3–4 Audittage (à 8 Stunden) jährlich, um Mindestprofessionalität zu sichern. Inklusive Vor- und Nachbereitung.
- Stellvertreterregelung: Für jede Systemdisziplin sollte mindestens ein Stellvertreter-Auditor eingeplant sein. Externe Auditoren (z. B. Berater) können diese Funktion übernehmen.
Nach welche Aspekten werden Auditoren ausgewählt?
Die Zusammensetzung des Auditteams folgt dem Prinzip „Kompetenz vor Verfügbarkeit“. Zu berücksichtigen sind:
- Systemfachkompetenz: Ein Auditor für ISO 45001 muss Arbeitssicherheitsrecht und Gefährdungsbeurteilung verstehen.
- Soziale und interkulturelle Kompetenz: Relevant bei internationalen Standorten oder multilingualen Auditteams.
- Unabhängigkeit: Interessenkonflikte sind zwingend auszuschließen. Auditoren dürfen nicht die eigene Arbeit überprüfen.
- Sachkundige: In Spezialthemen (z. B. Immissionsschutz, Gefahrgut, Strahlenschutz) können gesetzliche Beauftragte als Sachkundige eingebunden werden — sie sind aber nicht als Auditoren tätig.
Wichtige Vorlaufzeit: Der Auditprogrammverantwortliche sollte den Auftrag zur Durchführung eines spezifischen Audits ca. 10–12 Wochen im Voraus erteilen. Das ermöglicht gründliche Vorbereitung und Terminsicherung.
Wie managen, überwachen und verbessern Sie Ihr Auditprogramm?
Ein integriertes Auditprogramm, das nicht aktiv gemanagt wird, veraltet und verliert seine Steuerungswirkung. Die kontinuierliche Überwachung ist daher keine Option, sondern normative Anforderung aus ISO 19011 und ISO 9001 (Fortlaufende Verbesserung).
Was sind die Kernaufgaben des Auditprogrammverantwortlichen?
- Einzelaudit bewerten: Wurden die Auditziele wie geplant erreicht? Sind die Auditfeststellungen angemessen und vollständig?
- Auditberichte freigeben: Einschließlich Bewertung der Wirksamkeit eingeleiteter Korrektumaßnahmen.
- Fortschritt kommunizieren: Alle am Auditprogramm beteiligten Parteien, inkl. oberste Leitung, sind regelmäßig zu informieren.
- Programm jährlich evaluieren: Mindestens einmal jährlich ist zu analysieren, ob das Gesamtprogramm seine Ziele erreicht hat.
Wann sind Programmänderungen notwendig?
Auslöser für Korrekturen können sein:
- Wesentliche Änderungen in Normstandards (z. B. Revision ISO 9001)
- Bedeutende Zwischenfälle oder Nichtkonformitäten mit systemischen Ursachen
- Strukturelle Veränderungen der Organisation (Umstrukturierung, Akquisition, Auslagerung)
- Veränderungen in rechtlichen Anforderungen oder Compliance-Verpflichtungen
- Feedback aus Managementbewertungen oder Zertifizierungsaudits
- Integration neuer ESG-Kennzahlen
- Digitalisierung von Prozessen
- Veränderung des Unternehmenskontextes (z.B. Lieferkettenrisiken)
Welche Informationen müssen dokumentiert werden?
Die Dokumentierten Informationen zum Auditprozess und -programm können im Wesentlichen Folgendes enthalten: Auditprogrammziele, Risikobewertung, Auditpläne, Berichte, Nichtkonformitäten, Korrekturmaßnahmen und Kompetenznachweise.
Fazit: Mehr als nur ein Kontrollinstrument.
Ein integriertes Auditprogramm ist nicht nur ein Plan für interne Audits – es ist das Steuerungsinstrument für Effizienz, Qualität und Transparenz in allen Managementsystemen. Wer es strategisch, risikobasiert und kontinuierlich weiterentwickelt, verwandelt Audits zu wertvollem Managementwerkzeug, schafft echte Entscheidungsgrundlagen für die Unternehmensleitung und legt zugleich eine solide Basis für die Vorbereitung auf Zertifizierungsaudits.
Quelle
Dieser Blogbeitrag basiert auf dem Whitepaper „Das Auditprogramm für Integrierte Systemaudits“, Autor: Wolfgang Kallmeyer, © TÜV Media GmbH, TÜV Rheinland Group| Stand: 2025. Laden Sie sich gerne das ausführliche Whitepaper herunter. Zum Download
Das E-Book "Das integrierte Audit – Erfolgreich vorbereiten und durchführen" könnte auch interessant für Sie sein. Mehr erfahren
Seminar-Empfehlung zu integrierten Managementsystemen.
Sie möchten in Integriertes Managementsystem in Ihrem Unternehmen implementieren oder auditieren? Die TÜV Rheinland Akademie hat die passenden Weiterbildungen für Sie:
FAQ: Häufig gestellte Fragen zu Integrierten Managementsystemen und Systemaudits
Was versteht man unter einem Integrierten Managementsystem (IMS)?
Ein Integriertes Managementsystem (IMS) fasst mehrere normbasierte Managementsysteme z. B. Qualitätsmanagement (ISO 9001), Umweltmanagement (ISO 14001), Arbeitssicherheit (ISO 45001) und Energiemanagement (ISO 50001) in einer gemeinsamen Organisationsstruktur zusammen. Ziel ist es, redundante Prozesse, Dokumentationen und Verantwortlichkeiten zu konsolidieren. Die Grundlage dafür bietet die Harmonized Structure (HS), die allen modernen ISO-Managementsystemnormen eine einheitliche Kapitelstruktur gibt.
Ist ein Unternehmen normativ verpflichtet, ein integriertes Audit durchzuführen?
Nein. Keine ISO-Norm schreibt ein integriertes Auditformat vor. ISO 9001, ISO 14001 und andere Normen fordern jeweils eigene interne Audits, nicht jedoch deren Integration. Ein integriertes Systemaudit ist eine organisatorische Entscheidung, die auf Effizienz und Ressourcenschonung abzielt. Entscheidend ist allein, dass die Auditanforderungen jeder einzelnen Norm vollständig und nachvollziehbar erfüllt werden – egal ob separat oder integriert.
Wie unterscheidet sich ein Prozessaudit von einem Systemaudit?
Ein Systemaudit prüft, ob das Managementsystem als Ganzes den normativen Anforderungen entspricht und wirkungsvoll implementiert ist. Ein Prozessaudit fokussiert auf einen spezifischen Geschäftsprozess (z. B. Beschaffung, Produktion, Reklamationsbearbeitung) und untersucht dessen Ablauf, Steuerung und Leistungsfähigkeit.
Im integrierten Auditprogramm können beide Audittypen kombiniert werden: Ein Prozessaudit deckt dann gleichzeitig relevante Anforderungen aus mehreren Normen ab – z. B. Qualitäts- und Umweltanforderungen beim Prozess Wareneingang.
Welche Normen sind am häufigsten Teil eines integrierten Managementsystems?
Die häufigsten Kombinationen in der Praxis sind:
- ISO 9001 (Qualitätsmanagement) + ISO 14001 (Umweltmanagement)
- Erweiterung um ISO 45001 (Arbeits- und Gesundheitsschutz)
- Ergänzung durch ISO 50001 (Energiemanagement) in energieintensiven Branchen
- In der IT-Branche zunehmend ISO 27001 (Informationssicherheit) als Teil des IMS
Branchenspezifische Erweiterungen wie IATF 16949 (Automobilindustrie) oder ISO 13485 (Medizinprodukte) sind ebenfalls integrierbar, erfordern aber besondere Auditorkompetenz.
Wie werden ESG-Anforderungen in interne IMS-Audits integriert?
ESG-Kriterien (Environmental, Social, Governance) und Berichtspflichten nach CSRD/ESRS finden zunehmend Eingang in interne Auditprogramme. In der Praxis geschieht dies auf drei Wegen:
- durch Erweiterung bestehender Auditkriterien (z. B. Energieverbrauch, Emissionen, Arbeitsbedingungen)
- durch die Einführung dedizierter ESG-Audits als eigenständiges Auditelement im IMS-Programm
- durch die Verknüpfung von IMS-Auditfeststellungen mit den wesentlichen Nachhaltigkeitsthemen
