Internes Audit durchführen, die 6 Schritte vom Plan bis zur Wirksamkeitsprüfung

Zu Jahresbeginn: alle Prozesse listen, je Prozess Risiko + Audit-Bedarf bewerten (1× jährlich, 1× pro Zyklus). Termine für jedes Audit reservieren, Auditor zuordnen (Unabhängigkeits-Prinzip). Ergebnis: tabellarischer Audit-Plan, von der GF genehmigt.

Audit-Auftrag an Prozessverantwortliche per Mail: Datum, Scope, voraussichtliche Dauer, Themen. Vorab-Unterlagen anfordern (Prozessbeschreibung, KPI der letzten 12 Monate, offene Korrekturmaßnahmen). Audit-Checkliste erstellen mit 15–25 Leitfragen entlang Norm-Anforderungen und prozess-spezifischen Risiken.

Zu Beginn mit Prozessverantwortlichen + Schlüsselpersonen: Ziel und Scope wiederholen, Tagesablauf abstimmen, Vertraulichkeit zusichern, Sicherheitsregeln (bei Vor-Ort-Audit). Aufschreiben: wer ist verfügbar, welche Räume + Zugänge stehen bereit, wer ist Eskalations-Kontakt.

Stichprobengröße: 5–8 Belege pro Anforderung. Drei Datenquellen kombinieren: (1) Dokumente (Aufzeichnungen, Aufträge, Prüfprotokolle), (2) Interviews (mit Sachbearbeitern, nicht nur Vorgesetzten), (3) direkte Beobachtung am Arbeitsplatz. Gemba-Prinzip: zum Ort des Geschehens gehen, nicht im Büro auditieren. Findings sofort dokumentieren, mit Beleg-Nummer.

Am Audit-Ende mit Prozessverantwortlichen: Stärken zuerst benennen, dann Findings (Hauptabweichung, Nebenabweichung, Hinweis) mit Norm-Verweis. Keine Überraschungen, falls eine Hauptabweichung droht, bereits während des Audits ankündigen. Bericht schriftlich binnen 2 Wochen, mit Vorschlag für Korrektur-Fristen.

Korrekturmaßnahmen sind nicht abgeschlossen, wenn sie eingeleitet wurden, sondern wenn sie wirksam sind. 3–6 Monate nach Maßnahme-Umsetzung: erneut Stichprobe ziehen, ist die Abweichung wirklich verschwunden? Erst dann Maßnahme schließen. Audit-Trail dokumentieren, wird im externen Audit geprüft.