Auditprogramm Lieferanten

Das Auditprogramm Lieferanten ist die jährlich rollierende Gesamtplanung aller Lieferantenaudits eines Unternehmens. Es legt fest, welcher Lieferant wann, durch wen, mit welcher Methode und in welcher Tiefe auditiert wird. Grundlage sind ISO 19011:2018, IATF 16949 §9.2.2.2 und der unternehmensspezifische Risikoansatz aus dem Lieferantenrisikomanagement.

Detaillierte Erklärung

Das Auditprogramm ist nicht die einzelne Auditplanung, sondern die Steuerungsebene darüber. ISO 19011:2018 unterscheidet klar: Auditprogramm = Mehrjahresplanung, Auditplan = ein konkretes Audit. Das Auditprogramm beantwortet vier Fragen: Welche Lieferanten gehören in den Auditkreis? In welcher Frequenz wird auditiert? Welche Auditmethoden werden eingesetzt? Welche Ressourcen stehen zur Verfügung?

Die Frequenzlogik folgt der Risikoklassifikation aus dem Lieferantenrisikomanagement. Praxisstandard im DACH-Mittelstand 2026: Kritische Tier-1-Lieferanten (A-Klasse, sicherheitsrelevante Teile, Single-Source) erhalten ein jährliches Vor-Ort-Prozessaudit nach VDA 6.3 oder einen vergleichbaren Standard. Mittelkritische Lieferanten (B-Klasse) werden alle zwei Jahre vor Ort geprüft, in den Zwischenjahren per Remote-Audit oder Self-Assessment. Tail-Lieferanten (C-Klasse, geringer Spend, austauschbar) durchlaufen alle drei bis fünf Jahre ein vereinfachtes Audit oder ein dokumentengestütztes Desk-Audit. Neue Lieferanten erhalten in den ersten 18 Monaten nach Freigabe ein Initial-Audit und ein Follow-up-Audit.

Das Programm enthält neben Routinefrequenzen auch Triggerregeln. Trigger sind: drei oder mehr Reklamationen in 90 Tagen, ein Stop-Shipment, Wechsel im Werkleiter, Standortwechsel, Produkt- oder Prozessänderung mit PPAP-Pflicht, Major-Finding im Vorjahr. Bei Trigger wird ein zusätzliches Audit eingeplant, unabhängig vom Routinezyklus.

Ressourcenplanung ist die unterschätzte Disziplin. Ein VDA 6.3 Vor-Ort-Audit kostet inkl. Vorbereitung, Durchführung, Auswertung und Maßnahmenverfolgung im Schnitt 4-7 Personentage. Bei 80 A-Lieferanten und 120 B-Lieferanten ergibt das schnell 600+ Personentage Auditkapazität pro Jahr. Wer kein Ressourcenbudget plant, schiebt Audits oder kürzt die Tiefe – beides untergräbt das Programm. Externe Auditoren über Dienstleister kosten 2026 im DACH-Raum 1.200-1.800 EUR pro Tag, plus Reise.

Das Programm ist nach ISO 19011 §5.4 jährlich zu überprüfen und anzupassen. Die Überprüfung dokumentiert: Wurden alle geplanten Audits durchgeführt? Welche Findings wurden geschlossen? Welche Risikoklassen haben sich verändert?

Praxisbeispiel (konkretes Einkaufsszenario)

Ein Maschinenbau-Mittelständler aus Ostwestfalen (820 Mitarbeitende, 198 Mio. EUR Umsatz, Sondermaschinen für die Verpackungsindustrie) baut sein Auditprogramm 2026 neu auf. Lieferantenbasis: 1.240 aktive Lieferanten, 92 % des Einkaufsvolumens entfallen auf 78 A- und B-Lieferanten. Auditbudget: 2,8 Personenstellen Lieferantenqualität plus 95.000 EUR externe Auditkapazität.

Der Lieferantenqualitätsleiter klassifiziert: 24 A-Lieferanten (kritische Antriebskomponenten, Hydraulik, Steuerungselektronik, Single-Source-Anteil 38 %), 54 B-Lieferanten (Normteile mit Spezifikation, Baugruppen), 1.162 C-Lieferanten. Frequenzregel: A jährlich vor Ort (VDA 6.3 oder ISO 9001 Prozessaudit), B alle 24 Monate hybrid (Jahr 1 Vor-Ort, Jahr 2 Remote), C alle 48 Monate Desk-Audit auf Stichprobenbasis (20 % pro Jahr).

Jahresprogramm 2026: 24 A-Audits Vor-Ort, 27 B-Vor-Ort-Audits, 27 B-Remote-Audits, 232 C-Desk-Audits Stichprobe, plus Reserve von 8 Trigger-Audits. Gesamtressource: 168 interne Personentage + 62 Tage extern. Programmbudget: 312.000 EUR Vollkosten.

Im Februar 2026 löst ein Major-Finding bei einem Hydraulikspezialisten ein außerplanmäßiges Re-Audit aus. Im April fällt ein Steuerungselektronik-Lieferant durch eine 8D-Häufung von 5 Vorfällen in 60 Tagen auf – ebenfalls Trigger-Audit. Die Reservekapazität fängt beide Fälle ab. Im Q4-Review wird festgestellt: Frequenz für Hydraulik künftig halbjährlich, Auditprogramm 2027 wird entsprechend angepasst. Der Auditprogramm-Review wird in der Managementbewertung dokumentiert und an die Geschäftsführung berichtet.

Typische Fehler & Verhandlungskontext

Größter Fehler: Auditprogramm ohne Risikoklassifizierung. Wer alle Lieferanten gleich oft auditiert, verschwendet Ressourcen bei C-Lieferanten und vernachlässigt A-Lieferanten. Zweiter Fehler: Keine Triggerregeln. Ohne Trigger reagiert das Programm nicht auf Performanceverschlechterung und Audits laufen am Risiko vorbei. Dritter Fehler: Fehlende Reservekapazität. Wer 100 % seiner Auditkapazität verplant, kann auf Trigger nicht reagieren.

Ein häufiges Missverständnis betrifft IATF 16949. Die Norm verlangt nicht ein jährliches Vor-Ort-Audit aller Lieferanten, sondern einen risikobasierten Ansatz mit dokumentierter Begründung der Frequenz. Wer ohne Begründung jährlich auditiert, betreibt Compliance-Theater und blockiert Ressourcen.

Verhandlungskontext: Lieferanten reagieren auf Auditankündigung sensibel, besonders bei kurzfristigen Triggern. Klare Kommunikation der Auditregel im Q-Vertrag (Frequenz, Vorankündigungsfrist, Auditrecht bei begründetem Verdacht) entschärft Diskussionen vorab. In der Onboarding-Phase ist das Auditprogramm-Recht Teil der Lieferantenfreigabe.

Bei OEM-Beziehungen kaskadiert das Auditprogramm: Wenn der OEM den Tier-1 jährlich auditiert, verlangt der Tier-1 vom Tier-2 dieselbe Disziplin. Das Auditprogramm muss diese Kaskadenpflicht spiegeln, sonst bleibt das eigene Programm vom Kunden unanerkannt.

Programmgovernance ist die unterschätzte Disziplin. Ein Auditprogramm braucht einen verantwortlichen Programmleiter mit Mandat von der Geschäftsleitung, ein definiertes Reporting an die Managementbewertung und einen jährlichen externen Review. In Mittelstandsbetrieben sitzt die Verantwortung oft beim Lieferantenqualitätsleiter, der gleichzeitig operativ auditiert – das schafft Rollenkonflikte und schwächt die strategische Steuerung. Eine saubere Trennung zwischen Programmverantwortung und Audit-Durchführung erhöht die Wirkungstiefe.

Ein häufig übersehener Punkt ist die Auditor-Qualifikation. ISO 19011 fordert Kompetenznachweise (Ausbildung, Erfahrung, Branchenkenntnis, Auditpsychologie). Das Auditprogramm muss dokumentieren, welcher Auditor welche Lieferanten und welche Normen abdeckt. Wer ohne dokumentierten Kompetenznachweis auditiert, riskiert im OEM-Kaskaden-Audit ein Major-Finding gegen das eigene Auditprogramm.

Schließlich: Das Auditprogramm ist eng mit dem Onboarding-Prozess zu verzahnen. Neue Lieferanten dürfen nicht erst nach Jahren ins Auditprogramm rutschen, sondern bekommen ab Freigabe ein Initial-Audit innerhalb 6 Monaten und ein Folge-Audit nach 18 Monaten. Diese Onboarding-Audits sind kürzer (1 Tag) und fokussiert, schaffen aber die Basislinie für die spätere Routinefrequenz.

Verwandte Begriffe

• [[lieferantenaudit]]
• [[auditplan]]
• [[lieferantenrisikomanagement]]
• [[auditcheckliste]]
• [[lieferantenqualifizierung]]