Wenn der Zertifizierungstermin näher rückt, entsteht in vielen Betrieben dieselbe Frage: internes Audit oder Zertifizierungsaudit – was brauchen wir jetzt eigentlich? Die kurze Antwort lautet: meist beides, aber nicht zur gleichen Zeit und nicht mit derselben Zielsetzung. Wer den Unterschied kennt, plant Ressourcen besser, vermeidet unangenehme Überraschungen und macht aus Auditfeststellungen echte Verbesserungen.
Gerade in kleinen und mittelständischen Unternehmen sowie im Handwerk soll ein Audit kein zusätzlicher Papierberg sein. Es soll zeigen, ob Abläufe funktionieren: vom Auftragseingang über die Arbeitsvorbereitung und Ausführung bis zur Reklamationsbearbeitung. Ein gutes Audit schafft Klarheit darüber, wo Verantwortlichkeiten, Nachweise oder Schnittstellen noch nicht sauber geregelt sind.
Internes Audit oder Zertifizierungsaudit: der Kernunterschied
Ein internes Audit ist die eigene, systematische Überprüfung des Managementsystems. Es prüft, ob die festgelegten Prozesse im Alltag eingehalten werden, ob sie zur jeweiligen Norm passen und ob sie den Betrieb tatsächlich unterstützen. Es ist damit ein Führungs- und Verbesserungsinstrument.
Das Zertifizierungsaudit wird dagegen von einer unabhängigen Zertifizierungsstelle durchgeführt. Dabei bewertet ein externer Auditor, ob das Managementsystem die Anforderungen einer Norm wie ISO 9001 erfüllt und wirksam umgesetzt wird. Fällt die Bewertung positiv aus, wird das Zertifikat erteilt oder aufrechterhalten.
Der Unterschied ist mehr als eine Frage der Person, die prüft. Beim internen Audit steht die ehrliche Bestandsaufnahme im Vordergrund: Wo entstehen Fehler, Wartezeiten oder Missverständnisse? Beim Zertifizierungsaudit steht der objektive Nachweis der Normkonformität im Mittelpunkt. Beide Audits betrachten ähnliche Themen, setzen aber einen anderen Schwerpunkt.
Ein internes Audit darf daher deutlich tiefer in betriebliche Ursachen einsteigen. Wenn beispielsweise Nacharbeiten auf der Baustelle zunehmen, reicht es nicht, eine Arbeitsanweisung vorzuzeigen. Entscheidend ist, ob die Planung vollständig war, Material rechtzeitig bereitstand, Änderungen dokumentiert wurden und die Übergabe zwischen Büro, Lager und Montageteam funktioniert hat.
Was ein internes Audit im Betrieb leisten muss
Ein internes Audit ist keine Generalprobe, bei der nur mögliche Fragen eines externen Auditors abgehakt werden. Diese Herangehensweise führt häufig dazu, dass Unterlagen zwar ordentlich aussehen, die tatsächlichen Probleme aber unangetastet bleiben. Der größere Nutzen entsteht, wenn der Betrieb sein System aus Kundensicht und Prozesssicht prüft.
Dazu gehört zunächst ein auditierbarer Rahmen. Welche Prozesse sind für Qualität, Termine, Arbeitssicherheit, Kundenkommunikation und Wirtschaftlichkeit entscheidend? Welche Anforderungen gelten? Und woran lässt sich erkennen, ob ein Prozess wirksam ist? Nicht jede Kennzahl muss aufwendig sein. In einem Handwerksbetrieb können etwa Reklamationen, Nacharbeitsstunden, Termintreue oder offene Prüfprotokolle bereits aussagekräftige Signale liefern.
Die interne Auditierung verlangt auch Unabhängigkeit. Wer den eigenen Bereich prüft, übersieht leicht Gewohnheiten oder bewertet sie zu wohlwollend. In kleinen Unternehmen ist vollständige organisatorische Trennung nicht immer möglich. Dann helfen ein Audit durch einen Kollegen aus einem anderen Bereich, ein Verbundaudit oder externe Unterstützung. Wichtig ist eine sachliche Prüfung, keine Suche nach Schuldigen.
Ein brauchbarer Auditbericht beschreibt nicht nur eine Abweichung, sondern auch ihre Bedeutung. Statt „Dokument fehlt“ sollte er festhalten, welcher Nachweis fehlte, welche Anforderung betroffen ist, welches Risiko daraus entsteht und wer bis wann eine Korrektur umsetzt. So wird aus einer Feststellung eine steuerbare Aufgabe.
Interne Audits als Frühwarnsystem
Wer interne Audits nur kurz vor dem Zertifizierungsaudit durchführt, verschenkt Potenzial. Sinnvoller ist ein Auditprogramm, das sich über das Jahr verteilt und risikoorientiert arbeitet. Prozesse mit vielen Änderungen, wiederkehrenden Fehlern, hoher Kundenrelevanz oder neuen gesetzlichen Anforderungen verdienen mehr Aufmerksamkeit als seit Jahren stabile Abläufe.
Das gilt auch bei neuen KI-Anwendungen. Werden etwa Angebote mit generativer KI vorbereitet, Kundendaten verarbeitet oder KI-gestützte Entscheidungen genutzt, braucht es klare Regeln, Zuständigkeiten und Nachweise. Ein internes Audit kann prüfen, ob Freigaben, Mitarbeiterschulungen, Datenschutzvorgaben und die Anforderungen aus dem AI Act im Betrieb nachvollziehbar umgesetzt sind. Eine ISO-9001-Zertifizierung ersetzt diese Prüfung nicht automatisch.
So läuft ein Zertifizierungsaudit ab
Vor einer Erstzertifizierung findet üblicherweise ein zweistufiges Verfahren statt. In Stufe 1 verschafft sich der Auditor einen Überblick über das Managementsystem, den Geltungsbereich, die Dokumentation, den Reifegrad und die Auditbereitschaft. Offene Grundsatzfragen lassen sich in dieser Phase noch gezielt klären.
In Stufe 2 wird die praktische Anwendung geprüft. Der Auditor führt Gespräche mit Mitarbeitenden, sieht sich Aufzeichnungen an, verfolgt Prozesswege und prüft anhand von Stichproben, ob Vorgaben gelebt werden. Ein Zertifizierungsaudit ist keine vollständige Kontrolle aller Vorgänge. Gerade deshalb müssen die ausgewählten Nachweise schlüssig sein und die Abläufe im Betrieb verständlich erklären.
Nach erfolgreicher Erstzertifizierung folgen in der Regel jährliche Überwachungsaudits. Nach dem dreijährigen Zertifizierungszyklus steht die Rezertifizierung an. Der Auditaufwand hängt unter anderem von Unternehmensgröße, Standorten, Tätigkeitsbereich und Komplexität ab.
Stellt der Auditor Abweichungen fest, ist das nicht automatisch ein Scheitern. Entscheidend ist die Einordnung. Bei einer Nebenabweichung muss das Unternehmen meist innerhalb einer vorgegebenen Frist geeignete Korrekturen und deren Ursachenbearbeitung nachweisen. Eine schwerwiegende Abweichung kann die Zertifikatserteilung oder -aufrechterhaltung verhindern, bis sie wirksam geschlossen ist.
Wann welches Audit Priorität hat
Steht eine Erstzertifizierung bevor, hat ein vollständiges internes Audit vor dem externen Termin hohe Priorität. Es zeigt, ob das Managementsystem nicht nur beschrieben, sondern in den relevanten Bereichen angewendet wird. Dazu gehören auch Managementbewertung, Umgang mit Risiken und Chancen, Schulungsnachweise, Korrekturmaßnahmen und die Bewertung von Lieferanten, soweit diese für den Betrieb relevant sind.
Bei einem bestehenden Zertifikat sollte das interne Auditprogramm nicht vom Termin der Zertifizierungsstelle abhängen. Die Zertifizierung bestätigt nach einer Stichprobe den erreichten Stand. Die interne Auditierung hält den Betrieb zwischen diesen Terminen steuerungsfähig.
Es gibt allerdings Situationen, in denen ein externer Blick besonders sinnvoll ist: nach starkem Wachstum, bei der Zusammenlegung von Standorten, vor einem kritischen Kundenaudit oder wenn wiederkehrende Probleme trotz eigener Maßnahmen bestehen bleiben. Dann kann ein unabhängiges Vorbereitungsaudit helfen, blinde Flecken sichtbar zu machen. Es darf jedoch nicht mit dem eigentlichen Zertifizierungsaudit verwechselt werden.
Typische Fehler vor dem externen Audit
Der häufigste Fehler ist hektische Dokumentenpflege in den letzten Wochen. Fehlende Formulare werden erstellt, Ordner bereinigt und Unterschriften nachgeholt. Das kann einzelne Lücken schließen, beantwortet aber nicht die entscheidende Frage: Wird das System im Alltag gelebt?
Ebenso problematisch sind zu allgemeine Prozessbeschreibungen. Eine Verfahrensanweisung, die für jeden Betrieb gelten könnte, hilft Mitarbeitenden wenig und wirkt im Audit schnell künstlich. Gute Dokumentation beschreibt die eigene Realität: Wer nimmt Änderungen auf? Wie werden Prüfungen festgehalten? Was passiert bei einer Reklamation? Wie wird sichergestellt, dass Erfahrungen aus Fehlern in zukünftige Aufträge einfließen?
Auch Maßnahmenlisten ohne Wirksamkeitsprüfung sind ein Schwachpunkt. Eine Abweichung gilt nicht als dauerhaft gelöst, nur weil eine Aufgabe als erledigt markiert ist. Der Betrieb sollte nach angemessener Zeit prüfen, ob die Ursache tatsächlich beseitigt wurde. Sind Reklamationen zurückgegangen? Werden neue Prüfprotokolle vollständig geführt? Kennen Mitarbeitende die geänderte Vorgehensweise?
Schließlich darf ein Audit nicht allein auf den Qualitätsbeauftragten abgeladen werden. Die Geschäftsleitung muss Ziele, Prioritäten und Ressourcen nachvollziehbar vertreten. Mitarbeitende wiederum müssen wissen, was ihr Beitrag im Prozess ist. Eine glaubwürdige Auditsituation entsteht nicht durch auswendig gelernte Antworten, sondern durch klare, eingeübte Abläufe.
Der passende Weg für Ihr Unternehmen
Die Entscheidung lautet selten entweder internes Audit oder Zertifizierungsaudit. Das interne Audit schafft die Grundlage, das Zertifizierungsaudit liefert die unabhängige Bestätigung. Wie umfangreich die Vorbereitung sein sollte, hängt vom Reifegrad des Systems, der Veränderung im Betrieb und den Anforderungen von Kunden oder Ausschreibungen ab.
Für viele mittelständische Unternehmen ist ein schlankes, praxistaugliches System besser als ein umfangreiches Handbuch, das niemand nutzt. Apexigma unterstützt dabei, Auditprogramme, Prozesse und Nachweise so aufzubauen, dass sie im Betriebsalltag funktionieren und nicht nur am Audittag überzeugen.
Der sinnvollste nächste Schritt ist daher nicht, möglichst viele Unterlagen zu produzieren. Prüfen Sie an einem konkreten Prozess, ob Verantwortlichkeiten, Nachweise und Verbesserungen wirklich zusammenpassen. Wo die tägliche Arbeit nachvollziehbar geregelt ist, verliert auch das externe Audit seinen Schrecken.
