Systemaudit

Das Systemaudit prueft das gesamte Managementsystem einer Organisation gegen einen festgelegten Normenkatalog — typischerweise ISO 9001:2015 fuer Qualitaet, ISO 14001 fuer Umwelt, ISO 45001 fuer Arbeitssicherheit oder integrierte Mehr-Normen-Audits. Im Unterschied zum Prozess- oder Produktaudit fokussiert es nicht auf einzelne Ablaeufe, sondern auf das Zusammenspiel aller Systemelemente.

Detaillierte Erklaerung

Das Systemaudit ist im DACH-Mittelstand der haeufigste Audit-Typ, weil es Pflichtbestandteil jeder ISO-Zertifizierung ist. ISO 9001:2015 §9.2 fordert explizit interne Audits in geplanten Abstaenden — ueblich ist eine vollstaendige Abdeckung aller Norm-Kapitel innerhalb eines 12-Monats-Zyklus. Das externe Pendant ist das Zertifizierungsaudit durch eine akkreditierte Stelle (TUEV, DEKRA, Bureau Veritas, DNV, LRQA), bestehend aus Stage-1-Audit (Dokumentenpruefung) und Stage-2-Audit (Vor-Ort-Verifikation), gefolgt von jaehrlichen Ueberwachungsaudits und einem Re-Zertifizierungsaudit alle drei Jahre.

Methodisch leitet sich das Systemaudit aus DIN EN ISO 19011:2018 ab. Die Norm liefert Grundsaetze (Integritaet, faire Darstellung, gewissenhafte Pruefung, Vertraulichkeit, Unabhaengigkeit, Evidenzbasierung), das Audit-Programm-Management, die Auditdurchfuehrung und die Auditor-Kompetenzanforderungen. Im Kern: ein Systemaudit ist evidenzbasiert, der Auditor sammelt objektive Belege (Dokumente, Aufzeichnungen, Beobachtungen, Aussagen) und bewertet diese gegen die Normkriterien.

Im Ablauf eines internen Systemaudits sind sechs Phasen Standard: Auditplanung (Auditplan, Auditcheckliste, Auswahl der zu pruefenden Norm-Kapitel und Bereiche), Eroeffnungsgespraech, Audit-Durchfuehrung mit Interview-, Dokumenten- und Beobachtungsanteilen, Findings-Bewertung, Abschlussgespraech mit Vorpraesentation der Findings, Auditbericht inklusive Massnahmenplan. Aufwand: ein Komplett-Systemaudit ISO 9001 fuer einen Mittelstaendler mit 200-400 Mitarbeitern dauert 3-5 Audit-Personentage intern, ein externes Zertifizierungsaudit nach IAF MD 5 (Audit-Zeit-Tabelle) liegt bei 6-10 Audit-Tagen verteilt auf den Zertifikatszyklus.

Kosten externes Audit 2025: Zertifizierungs-Erstaudit ISO 9001 fuer einen 150-Mitarbeiter-Mittelstaendler liegt typischerweise bei 9.500-14.500 EUR (Stage 1 plus Stage 2). Jaehrliches Ueberwachungsaudit 3.200-4.800 EUR. Re-Zertifizierungsaudit im dritten Jahr 6.800-9.200 EUR. Bei integriertem Audit (ISO 9001 + ISO 14001 + ISO 45001 kombiniert) gibt es typischerweise 18-25 Prozent Rabatt durch Synergie-Auditzeit.

Findings-Kategorien: Hauptabweichung (Major Non-Conformity, NC1) bedeutet ein wesentliches Systemelement fehlt oder ist nicht wirksam — fuehrt zur Zertifikatsaussetzung. Nebenabweichung (Minor NC, NC2) ist ein isolierter Verstoss ohne Systemversagen — 4-8 Wochen Korrekturfrist. Hinweise und Verbesserungspotenziale sind keine Abweichungen, sondern Empfehlungen.

Praxisbeispiel (konkretes Einkaufsszenario)

Ein Maschinenbau-Mittelstaendler aus Sachsen-Anhalt (340 Mitarbeiter, 84 Mio. EUR Umsatz 2025, ISO 9001 zertifiziert seit 2009) bereitet das interne Systemaudit 2026 vor und bindet erstmals die Einkaufsabteilung als auditierter Bereich vollumfaenglich ein. Anlass: Drei Kundenbeanstandungen 2025 mit Wurzelursache "Fehler im Lieferantenfreigabeprozess", die externe Auditoren bei der naechsten Ueberwachung kritisch hinterfragen werden.

Auditplan (Wochen 1-2): Der interne Auditleiter (DGQ-Qualitaetsauditor, unabhaengig von Einkauf und QS) erstellt den Auditplan. Schwerpunkt fuer den Einkauf: ISO 9001 §8.4 "Steuerung extern bereitgestellter Prozesse, Produkte und Dienstleistungen". Zu pruefende Aspekte: §8.4.1 Allgemeines mit Lieferantenbewertung und Auswahlkriterien, §8.4.2 Art und Umfang der Steuerung, §8.4.3 Informationen fuer externe Anbieter.

Dokumentenpruefung (Woche 3): Approved Vendor List wird gegen tatsaechliche Lieferantenstammdaten im ERP abgeglichen. Auffaellig: 14 Lieferanten in der ERP-Stammdatenbank, die nicht auf der AVL stehen, davon 11 mit aktiven Bestellungen in den letzten 12 Monaten. Lieferantenbewertungen liegen fuer 67 von 89 A- und B-Lieferanten vor (75 Prozent), Soll-Quote 100 Prozent.

Vor-Ort-Audit (Tag 1, 6 Stunden Einkauf): Drei Interviews — Einkaufsleitung, ein operativer Einkaeufer, der Qualitaetsbeauftragte. Stichprobenpruefung an 12 Vorgaengen: Neuanlage von Lieferanten in den letzten 6 Monaten. Ergebnis: 4 von 12 Neuanlagen ohne dokumentierte [[lieferantenqualifizierung]] freigegeben, in zwei Faellen wurde nach erster Lieferung "rueckwirkend qualifiziert".

Findings: Eine Hauptabweichung NC1 (Lieferantenfreigabeprozess existiert dokumentiert, wird aber nicht systematisch angewandt — Systemversagen), drei Nebenabweichungen NC2 (AVL-Pflege unvollstaendig, Bewertungsquote unter Soll, fehlende Dokumentation der Risikobewertung neuer Lieferanten), fuenf Hinweise.

Korrekturmassnahmen (Wochen 4-12): Einfuehrung einer ERP-Sperre fuer Bestellungen an nicht-AVL-Lieferanten (technische Massnahme, wirksamer als Schulung). Bewertungsquote-Tracking als monatliches KPI. Mandatorische Risikobewertung im Lieferantenanlageprozess. Kosten der Massnahmen rund 18.500 EUR intern (zwei IT-Personentage ERP-Konfiguration, vier Schulungssessions Einkauf, Anpassung Verfahrensanweisungen). Wirksamkeitskontrolle im naechsten Audit 2027.

Effekt: Das externe Ueberwachungsaudit im Mai 2026 verlaeuft ohne Abweichungen im §8.4-Kapitel, das Zertifikat bleibt unbelastet.

Typische Fehler & Verhandlungskontext

Erster Fehler: Systemaudit mit Prozessaudit verwechseln. Wer im Systemaudit anfaengt, Fertigungsdetails zu auditieren, verliert sich in Operativem und verfehlt die Systemfrage. Best Practice: Systemaudit fragt "Sind die Regeln definiert, kommuniziert, wirksam?". Detailpruefung gehoert ins [[prozessaudit]].

Zweiter Fehler: Pre-Audit-Theater. Wer drei Wochen vor dem externen Audit eine "Aufraumaktion" startet, simuliert ein System, das im Normalbetrieb nicht existiert. Erfahrene externe Auditoren erkennen das an der Frische der Aufzeichnungen und an Mitarbeiter-Unsicherheit. Best Practice: kontinuierliche Audit-Reife mit monatlichen Mini-Reviews je Bereich.

Dritter Fehler: Audit-Findings ohne Wirksamkeitspruefung schliessen. Eine Korrekturmassnahme ist nicht abgeschlossen, weil eine Verfahrensanweisung geaendert wurde — sondern erst, wenn nachgewiesen ist, dass das Verhalten im Alltag der Norm entspricht. Wirksamkeitspruefung typischerweise 60-120 Tage nach Massnahmenumsetzung.

Vierter Fehler: Auditor-Unabhaengigkeit verletzen. Wenn der Einkaufsleiter den Einkauf "auditiert", produziert das einen unbrauchbaren Bericht. ISO 19011 fordert Unabhaengigkeit explizit. Bei kleinen Mittelstaendlern ohne separate Audit-Abteilung Loesung ueber wechselseitiges Audit (Bereich A auditiert Bereich B), externe Auditoren oder Verbund-Audits mit Schwesterbetrieben.

Im Verhandlungskontext mit Lieferanten ist das Systemaudit-Ergebnis weniger detailscharf als das [[prozessaudit]], aber strategisch relevant: ISO-9001-Zertifizierung ist im B2B-Mittelstand Mindestanforderung, IATF 16949 in der Automobil-Lieferkette nicht verhandelbar. Ein Lieferant mit ausgesetztem ISO-Zertifikat wird laut BME-Praxisbenchmark 2024 in 89 Prozent der Faelle gesperrt, bis der Auditbefund bereinigt ist. Im Erstgespraech ist der Hinweis auf "wir haben gerade unser Zertifizierungsaudit ohne Findings absolviert" ein starkes Vertrauenssignal — und umgekehrt eine offene NC1 ein klares Warnsignal fuer den Einkauf, der den [[auditbericht]] vor Vergabe einsehen sollte.

Verwandte Begriffe

• [[prozessaudit]]
• [[lieferantenaudit]]
• [[auditbericht]]
• [[auditplan]]
• [[iatf-16949]]