ISO 19011:2026 – Welche Kompetenzen Auditoren jetzt brauchen.

Ein Audittermin steht fest. Das Auditprogramm ist vorbereitet. Die Checkliste liegt bereit. Auf den ersten Blick wirkt vieles vertraut.

Doch die Rahmenbedingungen vieler Audits haben sich verändert. Prozesse laufen digital, Nachweise liegen in cloudbasierten Systemen, Teams arbeiten standortübergreifend und externe Dienstleister sind eng in betriebliche Abläufe eingebunden. Gleichzeitig entstehen Risiken häufig an Schnittstellen: zwischen Organisationen, Systemen, Lieferanten, Datenflüssen und Verantwortlichkeiten.

Genau in diese Auditrealität fällt die ISO 19011:2026. Die neue Ausgabe des Leitfadens zur Auditierung von Managementsystemen greift Entwicklungen auf, die viele Organisationen bereits aus der Praxis kennen: Remote Audits, risikobasierte Auditprogramme, komplexere Lieferketten, Informationssicherheit, Datenschutz, neue Technologien einschließlich künstlicher Intelligenz sowie integrierte Managementsysteme.

Für interne Auditoren, Auditteamleitungen und Verantwortliche für Auditprogramme stellt sich damit eine zentrale Frage: Reichen die bisherigen Auditmethoden und Kompetenzen aus, um Managementsysteme auch künftig wirksam, risikoorientiert und nachvollziehbar zu bewerten?

Auf Podcademy Island, der Wissenwohlfühlinsel der TÜV Rheinland Akademie, haben wir mit QM- und Prozessexpertin Birgit Knips über die ISO 19011 und die Kompetenzen gesprochen, die Auditoren für wirksame Audits benötigen. In den folgenden Video-Snippets erfahren Sie, welche Fähigkeiten in der Auditpraxis besonders gefragt sind, warum kritisches Hinterfragen wichtiger ist als das bloße Abarbeiten von Checklisten und wie Auditoren echten Mehrwert für Unternehmen schaffen.

Managementsysteme sind in vielen Organisationen anspruchsvoller geworden. Qualität, Umwelt, Arbeitsschutz, Informationssicherheit, KI-Management, Energie, Compliance und Nachhaltigkeit werden häufig in integrierten Systemen gesteuert. Gleichzeitig verändern Digitalisierung, Remote-Arbeit, Lieferketten, externe Partner und neue Technologien die Art, wie Prozesse geplant, überwacht und bewertet werden.

Damit steigen auch die Erwartungen an Audits.

Ein Audit soll nicht nur zeigen, ob Anforderungen bekannt und dokumentiert sind. Es soll sichtbar machen, ob Prozesse im Alltag wirksam funktionieren. Es soll Nachweise nicht nur erfassen, sondern deren Aussagekraft im jeweiligen Kontext bewerten. Auch Auditfeststellungen gewinnen erst dann an Wert, wenn klar wird, welche Bedeutung sie für Prozesse, Risiken, Ziele und Steuerungsmechanismen haben.

Die ISO 19011:2026 stärkt damit eine Entwicklung, die in vielen Unternehmen bereits spürbar ist: Audits werden stärker zu einem Instrument der Steuerung, Bewertung und Weiterentwicklung von Managementsystemen.

Für Auditoren bedeutet das: Die Anforderungen verschieben sich von der reinen Prüfung einzelner Nachweise hin zu einer stärker kontextbezogenen Bewertung. Entscheidend wird, ob Auditziele, Auditmethoden, Risiken, Nachweise und Kompetenzen im Auditteam zusammenpassen.

Die ISO 19011:2026 setzt mehrere Schwerpunkte, die sich unmittelbar auf die Arbeit von Auditoren auswirken.

1. Remote Audits und virtuelle Auditumgebungen werden stärker berücksichtigt.
Audits finden heute häufig hybrid oder vollständig remote statt. Dadurch verändern sich Auditplanung, Methodenauswahl, Nachweisprüfung und Kommunikation.

2. Der risikobasierte Ansatz wird stärker in der Auditpraxis verankert.
Auditprogramme, Stichprobenplanung und Methodenauswahl sollen sich stärker daran orientieren, wo Risiken, Chancen und Veränderungen für das Managementsystem besonders relevant sind.

3. Lieferketten und externe Partner rücken stärker in den Fokus.
Managementsysteme enden in der Praxis häufig nicht am eigenen Standort. Ausgelagerte Prozesse, Dienstleister und Lieferanten können erhebliche Auswirkungen auf Qualität, Informationssicherheit, Umweltleistung oder Compliance haben.

4. Informationssicherheit, Datenschutz und neue Technologien gewinnen an Bedeutung.
Audits verarbeiten sensible Informationen. Bei digitalen Auditformaten, cloudbasierten Nachweisen, Bildschirmfreigaben oder KI-gestützten Anwendungen müssen Vertraulichkeit, Datensicherheit und methodische Angemessenheit berücksichtigt werden.

5. Die Auditorenkompetenz wird noch wichtiger.
Gute Audits hängen von Menschen ab, die Anforderungen verstehen, Methoden passend auswählen, Gespräche wirksam führen, Nachweise bewerten und Feststellungen nachvollziehbar einordnen können.

Diese Schwerpunkte machen deutlich: Die ISO 19011:2026 betrifft nicht nur Auditprogramme und Dokumentation. Sie stellt auch die Frage, welche Kompetenzen Auditoren benötigen, um moderne Managementsysteme zuverlässig zu auditieren.

Auditoren benötigen weiterhin ein solides Verständnis der Auditprinzipien, der Auditplanung und der Auditdurchführung. Mit der ISO 19011:2026 gewinnt jedoch die Frage an Bedeutung, wie dieses Wissen in komplexeren Auditkontexten angewendet wird.

Besonders relevant sind sechs Kompetenzfelder.

Audits sind immer Stichproben. Deshalb ist entscheidend, welche Prozesse ausgewählt, welche Nachweise betrachtet und welche Fragen gestellt werden. Eine gleichmäßige Prüfung aller Themen liefert selten die besten Erkenntnisse.

Risikokompetenz bedeutet, Auditzeit bewusst dort einzusetzen, wo Prozesse, Schnittstellen oder Veränderungen eine besondere Bedeutung für das Managementsystem haben. Das betrifft nicht nur die Auditdurchführung, sondern bereits die Planung des Auditprogramms.

Für Auditoren stellen sich dabei praktische Fragen:

• Welche Prozesse sind für die Organisation besonders kritisch?
• Wo haben sich Rahmenbedingungen verändert?
• Welche Schnittstellen sind fehleranfällig?
• Welche externen Partner beeinflussen die Prozessqualität?
• Wo können Abweichungen die größte Wirkung entfalten?
• Welche Stichproben sind geeignet, um belastbare Erkenntnisse zu gewinnen?

Risikoorientierung bedeutet nicht, nur noch problematische Bereiche zu prüfen. Sie bedeutet, Auditziele, Ressourcen, Methoden und Stichproben so auszurichten, dass das Audit relevante Erkenntnisse liefert.

Für die Weiterbildung ist dieses Kompetenzfeld besonders wichtig, weil Risikoorientierung nicht allein durch Normkenntnis entsteht. Auditoren müssen lernen, Risiken im Auditkontext zu erkennen, zu gewichten und in geeignete Auditfragen zu übersetzen.

Remote Audits sind in vielen Organisationen fester Bestandteil der Auditpraxis geworden. Sie können effizient sein, Reiseaufwand reduzieren und standortübergreifende Audits erleichtern. Gleichzeitig stellen sie neue Anforderungen an Planung, Technik, Informationssicherheit und Gesprächsführung.

Ein Remote Audit ist keine einfache Übertragung eines Präsenz-Audits in eine Videokonferenz. Auditoren müssen vorab klären, welche Auditziele mit remote eingesetzten Methoden erreicht werden können und wo Vor-Ort-Prüfungen weiterhin erforderlich sind.

Entscheidend sind unter anderem folgende Fragen:

• Welche Nachweise können digital belastbar geprüft werden?
• Welche Prozesse lassen sich remote ausreichend nachvollziehen?
• Welche Gespräche sollten einzeln, im Team oder vor Ort stattfinden?
• Wie werden Dokumentenzugriffe, Bildschirmfreigaben und Aufzeichnungen abgesichert?
• Welche technischen Grenzen können die Aussagekraft des Audits beeinflussen?
• Wann ist ein hybrides Auditformat sinnvoller als ein vollständig remote durchgeführtes Audit?

Die zentrale Frage lautet daher nicht: Kann ein Audit digital durchgeführt werden? Entscheidend ist, ob die gewählte Auditmethode ausreichend belastbare Erkenntnisse für das Auditziel liefert. Digitale Auditkompetenz ist damit keine rein technische Zusatzfähigkeit. Sie ist Teil professioneller Auditkompetenz.

Viele Managementsysteme sind heute eng mit externen Partnern verbunden. Lieferanten, Dienstleister, ausgelagerte Prozesse, Logistikpartner oder IT-Provider können erheblichen Einfluss auf die Leistung einer Organisation haben.

Für Audits bedeutet das: Die Betrachtung des eigenen Standorts reicht häufig nicht aus. Auditoren müssen verstehen, an welchen Schnittstellen Risiken entstehen und wie externe Leistungen in das Managementsystem eingebunden sind.

Das betrifft zum Beispiel:

• Lieferantenauswahl und Lieferantenbewertung,
• ausgelagerte Prozesse,
• Schnittstellen zwischen Einkauf, Qualität, Informationssicherheit und Compliance,
• Nachweise externer Dienstleister,
• Verantwortlichkeiten bei geteilten Prozessen,
• die Abgrenzung zwischen internen Audits und Lieferantenaudits.

Gerade hier zeigt sich, ob ein Audit nur formale Anforderungen prüft oder tatsächliche Steuerungsfähigkeit sichtbar macht. Ein Lieferant kann bewertet sein, ein Vertrag kann vorliegen und ein Prozess kann beschrieben sein. Entscheidend ist jedoch, ob die Organisation die ausgelagerte Leistung wirksam überwacht und relevante Risiken angemessen steuert.

Für Auditoren wird deshalb wichtiger, Lieferketten und externe Schnittstellen nicht nur als Randthema zu behandeln. Sie müssen einschätzen können, wann externe Partner auditrelevant sind und welche Nachweise für eine belastbare Bewertung erforderlich sind.

Audits erzeugen und verarbeiten sensible Informationen. Dazu gehören Prozessdaten, Kennzahlen, Schwachstellen, personenbezogene Daten, Lieferanteninformationen, technische Details oder Managementbewertungen. Der Schutz dieser Informationen ist ein wesentlicher Bestandteil professioneller Auditpraxis.

Mit digitalen Auditformaten wird dieses Thema noch wichtiger. Dokumente werden geteilt, Systeme remote geöffnet, Bildschirme übertragen und Gespräche digital geführt. Dabei müssen Vertraulichkeit, Datensicherheit und Datenschutz gewährleistet bleiben.

Auditoren müssen deshalb nicht zu IT-Spezialisten werden. Sie benötigen jedoch ein grundlegendes Verständnis dafür, welche Risiken bei digitalen Auditmethoden entstehen können und wie diese methodisch berücksichtigt werden.

Das gilt auch für neue Technologien einschließlich künstlicher Intelligenz. Wenn Organisationen KI-gestützte Systeme einsetzen oder Auditoren digitale Werkzeuge zur Vorbereitung, Analyse oder Dokumentation nutzen, stellen sich neue Fragen:

• Welche Daten werden verarbeitet?
• Wie zuverlässig sind digitale Auswertungen?
• Welche Grenzen haben automatisierte Analysen?
• Wie bleibt die Vertraulichkeit von Auditinformationen gewahrt?
• Welche Entscheidungen dürfen nicht allein auf technische Auswertungen gestützt werden?
• Wie wird sichergestellt, dass Auditfeststellungen nachvollziehbar bleiben?

Für die Auditpraxis bedeutet das: Informationssicherheit, Datenschutz und Technologieverständnis werden zu Bestandteilen der Auditorenkompetenz. Sie beeinflussen nicht nur den Umgang mit Informationen, sondern auch die Qualität und Belastbarkeit der Auditmethode.

Viele Organisationen betreiben heute mehrere Managementsysteme parallel oder integriert. Anforderungen aus Qualität, Umwelt, Arbeitsschutz, Energie, Informationssicherheit oder Compliance greifen ineinander. Dadurch entstehen Schnittstellen, Synergien und Abhängigkeiten.

Auditoren müssen deshalb verstehen, wie verschiedene Anforderungen zusammenwirken. Sie sollten erkennen können, ob ein Prozess nur formal beschrieben ist oder im Gesamtsystem tatsächlich funktioniert. Ebenso wichtig ist die Fähigkeit, Wechselwirkungen zwischen Prozessen, Rollen, Kennzahlen und Steuerungsmechanismen zu bewerten.

Systemverständnis hilft, Audits nicht zu kleinteilig zu führen. Es unterstützt Auditoren dabei, einzelne Nachweise in den richtigen Zusammenhang einzuordnen.

Ein Beispiel: Eine Schulungsanforderung kann im Qualitätsmanagement relevant sein, zugleich aber auch Auswirkungen auf Arbeitssicherheit, Umweltmanagement oder Informationssicherheit haben. Ein integriertes Audit prüft dann nicht mehrere Systeme isoliert, sondern betrachtet gemeinsame Prozesse und disziplinspezifische Anforderungen sinnvoll zusammen.

Das bedeutet auch: Auditgeneralisten können übergreifende Managementsystemthemen gut bewerten. Für fachlich tiefere Anforderungen braucht es jedoch häufig zusätzliche Expertise. Professionelle Auditplanung berücksichtigt deshalb auch, welche Kompetenzen im Auditteam für den jeweiligen Auditumfang erforderlich sind.

Audits sind Fachgespräche. Gute Auditfragen helfen, Ursachen, Zusammenhänge und Wirksamkeit sichtbar zu machen. Sie vermeiden unnötige Verteidigungshaltungen und ermöglichen ein sachliches Gespräch über Prozesse, Risiken und Verbesserungsmöglichkeiten.

Kommunikationskompetenz zeigt sich darin, wie Auditoren fragen, zuhören, nachfassen und Beobachtungen einordnen. Gerade in komplexeren Auditkontexten reicht es nicht aus, Checklistenpunkte abzuarbeiten. Entscheidend ist, ob Gespräche zu belastbaren Erkenntnissen führen.

Ebenso wichtig ist Bewertungskompetenz. Auditfeststellungen müssen nachvollziehbar, angemessen und anschlussfähig sein. Eine gute Feststellung beschreibt, was beobachtet wurde, und macht deutlich, warum diese Beobachtung für das Managementsystem relevant ist.

Dafür müssen Auditoren einschätzen können:

• Ist der vorgelegte Nachweis ausreichend?
• Ist eine Beobachtung eine Einzelabweichung oder ein Hinweis auf ein systemisches Problem?
• Welche Bedeutung hat die Feststellung für Prozesse, Risiken oder Ziele?
• Ist die Formulierung der Abweichung klar, sachlich und nachvollziehbar?
• Kann die Organisation aus der Feststellung konkrete Maßnahmen ableiten?

Gute Kommunikation stärkt die Akzeptanz des Audits. Gute Bewertungskompetenz verbessert die Qualität der Auditfeststellungen. Beides zusammen entscheidet darüber, ob ein Audit für die Organisation echten Nutzen erzeugt.

Erfahrung ist für Auditoren ein großer Vorteil. Sie hilft, Situationen einzuordnen, Gesprächsdynamiken zu verstehen und Muster zu erkennen. Gleichzeitig kann Erfahrung dazu führen, dass Audits nach vertrauten Routinen ablaufen.

Darin liegt ein mögliches Risiko.

Wenn sich Managementsysteme verändern, die Auditmethodik aber gleich bleibt, können blinde Flecken entstehen. Ein Auditor kann sehr erfahren sein und dennoch neue Entwicklungen zu wenig berücksichtigen: digitale Prozessketten, veränderte Lieferantenstrukturen, neue Informationssicherheitsanforderungen, KI-Anwendungen oder stärker integrierte Managementsysteme.

Ein Beispiel: Ein internes Audit prüft den Beschaffungsprozess. Dokumentation, Verantwortlichkeiten und Lieferantenbewertung sind vorhanden. Im Gespräch zeigt sich jedoch, dass ein externer Dienstleister inzwischen Zugriff auf sensible Prozessdaten hat. Eine klassische Prüfung des Beschaffungsprozesses würde diesen Aspekt möglicherweise nur am Rand erfassen. Ein risikoorientiertes Audit betrachtet zusätzlich die Schnittstelle zwischen Lieferantenmanagement, Informationssicherheit, Datenschutz und Prozesssteuerung.

Erfahrung bleibt also wichtig. Sie sollte jedoch regelmäßig mit aktuellen Anforderungen, neuen Auditmethoden und veränderten Risikokontexten abgeglichen werden.

Die ISO 19011:2026 ist ein sinnvoller Anlass, das eigene Auditprogramm und die vorhandenen Kompetenzen im Auditteam zu überprüfen. Dabei geht es nicht darum, bisherige Auditoren infrage zu stellen. Ziel ist es, Auditfähigkeit an veränderte Rahmenbedingungen anzupassen.

Hilfreiche Prüffragen sind:

• Passen unsere Auditziele noch zu den aktuellen Risiken und Veränderungen im Unternehmen?
• Werden Remote- und Hybrid-Audits methodisch sinnvoll eingesetzt?
• Sind digitale Nachweise ausreichend belastbar prüfbar?
• Werden Informationssicherheit und Datenschutz bei digitalen Auditformaten berücksichtigt?
• Sind Lieferketten, externe Partner und ausgelagerte Prozesse angemessen im Auditprogramm abgebildet?
• Verstehen unsere Auditteams die Wechselwirkungen zwischen verschiedenen Managementsystemen?
• Sind Kompetenzen für integrierte Audits ausreichend vorhanden?
• Wird der Einsatz neuer Technologien, einschließlich KI, im Auditkontext angemessen bewertet?
• Werden Auditfeststellungen so formuliert, dass sie für die Organisation nutzbar sind?
• Wird Auditorenkompetenz regelmäßig reflektiert, aktualisiert und dokumentiert?

Diese Fragen helfen, Kompetenzentwicklung nicht als formale Pflicht zu betrachten. Sie zeigen, wo Erfahrung, Austausch, methodische Auffrischung oder Weiterbildung sinnvoll sein können.

Weiterbildung ist im Auditkontext kein Selbstzweck. Sie ist dann sinnvoll, wenn sie Auditoren dabei unterstützt, ihre Aufgaben fachlich sicherer, methodisch klarer und praxisnäher wahrzunehmen. Gerade bei einer Normrevision wie der ISO 19011:2026 geht es um mehr als neue Begriffe oder geänderte Strukturen. Entscheidend ist die Übertragung in die Auditpraxis.

Wichtige Fragen sind zum Beispiel:

• Wie verändert sich die Planung von Auditprogrammen?
• Wie lassen sich Risiken und Chancen im Auditkontext bewerten?
• Wann sind Remote Audits oder hybride Auditformate geeignet?
• Welche Anforderungen entstehen durch digitale Nachweise, Datenschutz und Informationssicherheit?
• Wie werden Lieferketten und externe Partner angemessen auditiert?
• Welche Kompetenzen braucht ein Auditteam für integrierte Managementsysteme?
• Wie lassen sich Auditfeststellungen so formulieren, dass sie verwertbare Erkenntnisse liefern?

Eine Fortbildung nach DIN EN ISO 19011 kann hier eine Brücke schlagen. Sie verbindet Normverständnis mit praktischer Auditmethodik und unterstützt Auditoren dabei, ihre Rolle im Auditprozess zu reflektieren und weiterzuentwickeln.

Sie ersetzt praktische Erfahrung nicht. Sie kann jedoch helfen, vorhandene Erfahrung fachlich einzuordnen und an aktuelle Anforderungen anzupassen.

Eine Fortbildung zur ISO 19011 ist besonders hilfreich für Personen, die Audits planen, durchführen, begleiten oder bewerten. Dazu gehören unter anderem:

• interne Auditorinnen und Auditoren,
• Auditteamleitungen,
• Verantwortliche für Auditprogramme,
• Qualitätsmanagementbeauftragte,
• Managementsystembeauftragte,
• Fach- und Führungskräfte mit Verantwortung für Managementsysteme,
• Verantwortliche für integrierte Managementsysteme,
• Personen, die Remote Audits, Lieferantenaudits oder risikoorientierte Audits durchführen.

Besonders relevant ist eine Aktualisierung der Kenntnisse, wenn sich Auditkontexte im Unternehmen verändert haben – etwa durch Digitalisierung, neue Standorte, veränderte Lieferketten, integrierte Managementsysteme oder zusätzliche Anforderungen an Informationssicherheit, Datenschutz und Compliance.

Die ISO 19011:2026 zeigt, dass wirksame Audits mehr benötigen als Checklisten, Auditpläne und Erfahrung. Entscheidend ist die Fähigkeit, Managementsysteme im Kontext ihrer tatsächlichen Prozesse, Risiken, Schnittstellen und Ziele zu bewerten.

Für Auditoren bedeutet das: Normkenntnis bleibt die Grundlage. Hinzu kommen Risikoverständnis, digitale Auditkompetenz, Lieferketten- und Schnittstellenverständnis, Sensibilität für Informationssicherheit und Datenschutz, Systemdenken sowie eine belastbare Bewertung von Auditfeststellungen.

Weiterbildung wird damit zu einem sinnvollen Bestandteil professioneller Auditpraxis. Der Grund liegt nicht allein in der Normrevision, sondern in den veränderten Anforderungen an moderne Audits.

Wer Audits plant, durchführt oder verantwortet, sollte die ISO 19011:2026 daher als Anlass nutzen, die eigene Auditpraxis und die vorhandenen Kompetenzen im Auditteam zu reflektieren. So wird aus der Normrevision kein reiner Aktualisierungsaufwand, sondern eine Chance, Audits wirksamer, praxisnäher und zukunftsfähiger zu gestalten.

Die Video-Snippets machen neugierig auf mehr? In zwei Podcast-Folgen vertiefen wir die Themen mit persönlichen Erfahrungen, konkreten Praxisbeispielen und spannenden Perspektiven aus dem Auditalltag:

• Folge 1: Checkliste war gestern? Was ein internes Audit wirklich ausmacht!
• Folge 2: Normenwissen allein reicht nicht: Die Kunst des Auditierens!