Ein internes Audit scheitert selten daran, dass ein Dokument vollständig fehlt. Häufiger liegt das Problem darin, dass Unterlagen nicht zur gelebten Praxis passen, veraltet sind oder niemand schnell erklären kann, wo der aktuelle Stand zu finden ist. Wer sich fragt, welche Unterlagen braucht ein internes Audit, sollte deshalb nicht nur Ordner füllen. Entscheidend ist ein nachvollziehbares Bild davon, wie der Betrieb geführt wird, wie Prozesse tatsächlich laufen und wie Abweichungen verbessert werden.
Gerade in kleinen und mittelständischen Unternehmen sowie im Handwerk muss die Vorbereitung pragmatisch bleiben. Ein Audit soll nicht den Arbeitsalltag blockieren, sondern Risiken sichtbar machen, Verbesserungen anstoßen und die Grundlage für eine erfolgreiche externe Zertifizierung oder Kundenprüfung schaffen.
Der Ausgangspunkt: Auditauftrag und Geltungsbereich
Bevor Unterlagen zusammengestellt werden, müssen Auditziele, Bereich und Kriterien klar sein. Ein internes Audit nach ISO 9001 betrachtet andere Schwerpunkte als ein Arbeitsschutz-, Umwelt- oder KI-Compliance-Audit. Wird etwa nur der Prozess von der Kundenanfrage bis zur Rechnungsstellung geprüft, sind nicht sämtliche Unternehmensdokumente erforderlich.
Zum Auditauftrag gehören mindestens der geprüfte Bereich, die anzuwendenden Anforderungen, der Zeitraum, die verantwortlichen Ansprechpartner und der Auditplan. Diese Unterlagen schaffen Transparenz für Auditor und Fachbereich. Sie verhindern auch, dass die Prüfung zu einer unsortierten Dokumentensuche wird.
Bei einem integrierten Managementsystem kann es sinnvoll sein, Themen zu bündeln. Trotzdem sollten die Nachweise eindeutig dem jeweiligen Prozess und der jeweiligen Anforderung zugeordnet werden. Eine Verfahrensanweisung allein belegt beispielsweise noch nicht, dass Arbeitsschutzunterweisungen oder Prüfmittelkontrollen tatsächlich stattfinden.
Welche Unterlagen braucht ein internes Audit im Qualitätsmanagement?
Für ein Audit im Qualitätsmanagement sind dokumentierte Informationen und gelebte Nachweise gleichermaßen relevant. Die ISO 9001 schreibt nicht für jeden Betrieb ein umfangreiches Handbuch vor. Sie verlangt jedoch, dass Prozesse geplant, gesteuert und ihre Wirksamkeit bewertet werden können. Wie umfangreich die Dokumentation sein muss, hängt von Betriebsgröße, Komplexität, Qualifikation der Mitarbeitenden und Risiken ab.
In der Praxis prüft der Auditor zunächst die Grundlagen des Managementsystems. Dazu zählen der definierte Geltungsbereich, die Qualitätspolitik, messbare Qualitätsziele sowie die Prozesslandschaft oder Prozessbeschreibung. Auch Verantwortlichkeiten und Vertretungsregelungen sollten erkennbar sein. Im Handwerksbetrieb kann das eine schlanke Prozessübersicht sein, die Angebotsbearbeitung, Auftragsplanung, Ausführung, Abnahme und Reklamationsbearbeitung verbindet.
Danach folgt der Blick in die operative Umsetzung. Besonders aussagekräftig sind konkrete Aufträge, weil sich daran der gesamte Ablauf nachvollziehen lässt: Anfrage, Angebot, Auftrag, Arbeitsvorbereitung, Materialfreigabe, Prüfungen, Abnahme und Rechnung. Der Auditor braucht nicht zwanzig zufällig ausgewählte Akten. Wenige passende Stichproben mit vollständiger Nachweiskette liefern einen deutlich besseren Einblick.
Typische Unterlagen und Nachweise sind:
- Prozessbeschreibungen, Arbeitsanweisungen, Prüfanweisungen und Checklisten
- Organigramm, Rollenbeschreibungen, Kompetenzmatrix und Schulungsnachweise
- Kundenanforderungen, Angebote, Auftragsbestätigungen sowie Änderungsvereinbarungen
- Prüfprotokolle, Abnahmeunterlagen, Messmittelüberwachungen und Freigaben
- Reklamationen, Fehlerberichte, Korrekturmaßnahmen und Wirksamkeitsprüfungen
- Lieferantenbewertungen, Wareneingangsprüfungen und Nachweise zur Beschaffung
- Kennzahlen, Qualitätsziele, Auswertungen und Ergebnisse von Managementbewertungen
- frühere Auditberichte, Abweichungen und der Status vereinbarter Maßnahmen
Diese Liste ist keine Pflicht zum Sammeln um des Sammelns willen. Ein Betrieb ohne eigene Fertigung benötigt etwa keine Fertigungslenkungspläne. Dafür können bei Dienstleistungen Terminplanung, Einsatzberichte, Kundenfreigaben und die Dokumentation der Leistungserbringung zentral sein.
Dokumentenlenkung: Der aktuelle Stand zählt
Ein häufiger Auditbefund entsteht nicht wegen fehlender Inhalte, sondern wegen ungesteuerter Dokumente. Auf dem Server liegt eine aktuelle Arbeitsanweisung, in der Werkstatt wird aber noch mit einem alten Ausdruck gearbeitet. Damit ist der Prozess nicht sicher gelenkt, selbst wenn das Dokument formal freigegeben wurde.
Für auditrelevante Unterlagen sollte nachvollziehbar sein, wer sie erstellt, geprüft und freigegeben hat, welche Version gilt und wie Änderungen kommuniziert werden. Das kann in einem digitalen Managementsystem erfolgen, aber auch mit einer klar geführten Ordnerstruktur und einer einfachen Dokumentenliste. Entscheidend ist die konsequente Anwendung.
Externe Dokumente verdienen dieselbe Aufmerksamkeit. Dazu gehören Kundenspezifikationen, technische Regelwerke, Gesetze, Herstellerinformationen oder behördliche Auflagen. Der Betrieb muss wissen, welche davon für seine Leistungen gelten und wie Änderungen bewertet werden.
Nachweise zeigen die Wirklichkeit hinter dem Prozess
Dokumente beschreiben den Soll-Zustand. Nachweise zeigen, ob dieser Soll-Zustand funktioniert. Diese Unterscheidung ist für die Vorbereitung besonders wichtig. Wer nur Verfahrensanweisungen vorlegt, beantwortet noch nicht die Frage, ob Prüfungen fristgerecht durchgeführt, Mitarbeitende qualifiziert oder Kundenreklamationen wirksam bearbeitet wurden.
Gute Nachweise sind datiert, zuordenbar und verständlich. Ein unterschriebenes Prüfprotokoll, eine digitale Checkliste mit Zeitstempel oder ein nachvollziehbarer Eintrag im ERP-System können gleichermaßen geeignet sein. Die Form ist nachrangig. Eine handschriftliche Baustellencheckliste ist völlig ausreichend, wenn sie lesbar ist, zum Auftrag passt und im Ablauf verwendet wird.
Besondere Aufmerksamkeit verdienen Abweichungen. Kein Unternehmen arbeitet fehlerfrei, und ein internes Audit verlangt das auch nicht. Kritisch wird es erst, wenn Fehler wiederkehren, Verantwortlichkeiten offenbleiben oder Maßnahmen ohne Wirksamkeitsprüfung abgeschlossen werden. Halten Sie daher zu wesentlichen Abweichungen Ursache, Maßnahme, Termin, Verantwortlichen und Ergebnis fest.
Mitarbeitende, Risiken und Führung nicht vergessen
Interne Audits bewerten nicht nur Papier und Dateien. Gespräche mit Mitarbeitenden gehören dazu. Deshalb sollten Qualifikationsnachweise, Unterweisungen, Einarbeitungspläne und Befähigungen verfügbar sein, insbesondere bei sicherheits- oder qualitätskritischen Tätigkeiten. Es muss erkennbar sein, dass Beschäftigte wissen, was sie tun sollen und an wen sie sich bei Problemen wenden.
Ebenso relevant ist der Umgang mit Risiken und Chancen. Ein einfaches Risikoregister kann ausreichen, sofern es die tatsächlichen Risiken des Betriebs abbildet: Lieferengpässe, Ausfall von Schlüsselpersonal, fehlerhafte Kundeninformationen, IT-Ausfälle oder Qualitätsprobleme bei kritischen Nachunternehmern. Wichtig ist die Verbindung zur Praxis. Zu jedem relevanten Risiko sollte es eine angemessene Steuerung geben.
Die oberste Leitung sollte nachweisen können, dass sie das Managementsystem nicht nur delegiert. Protokolle oder Ergebnisse der Managementbewertung zeigen, wie Kennzahlen, Kundenfeedback, Risiken, Auditfeststellungen, Ressourcen und Verbesserungsmaßnahmen bewertet wurden. In kleineren Betrieben darf dieses Format schlank sein. Ein strukturiertes Jahresgespräch mit nachvollziehbaren Entscheidungen ist wertvoller als ein formales Protokoll ohne Konsequenzen.
Sonderfall: Unterlagen für ein internes KI-Compliance-Audit
Setzt ein Unternehmen KI-Systeme ein, etwa für Bewerbervorauswahl, Qualitätsprüfung, Einsatzplanung oder Kundenkommunikation, erweitert sich die Unterlagenbasis. Maßgeblich sind Einsatzbereich, Risiko und Rolle des Unternehmens. Wer ein KI-System nur nutzt, benötigt andere Nachweise als ein Unternehmen, das es entwickelt oder wesentlich verändert.
Für ein internes KI-Compliance-Audit sind eine KI-Inventarliste, die Beschreibung der jeweiligen Anwendung, Verantwortlichkeiten und eine Risikobewertung ein sinnvoller Start. Hinzu kommen Angaben zu Datenquellen, Zugriffsrechten, menschlicher Kontrolle, Schulungen und internen Freigaben. Bei Systemen mit erhöhtem Risiko können zusätzliche Anforderungen an technische Dokumentation, Protokollierung, Transparenz und Überwachung erforderlich werden.
Wichtig ist eine realistische Bestandsaufnahme. Viele Betriebe nutzen bereits KI-Funktionen in Standardsoftware, ohne diese Anwendungen zentral zu erfassen. Eine vollständige Liste schafft erst die Grundlage, um Risiken, Datenschutz und Anforderungen des AI Act angemessen zu bewerten.
So bereiten Sie die Unterlagen ohne Hektik vor
Beginnen Sie nicht erst eine Woche vor dem Audit. Sinnvoll ist eine zentrale Auditakte, digital oder in Papierform, die nach Prozessen aufgebaut ist. Legen Sie dort Auditplan, relevante Vorgabedokumente, ausgewählte Nachweise, frühere Feststellungen und den aktuellen Maßnahmenstatus ab. So findet der Auditor Informationen schnell, und der Fachbereich wird nicht unnötig aus dem Tagesgeschäft gezogen.
Prüfen Sie vorab anhand realer Stichproben: Passt die Arbeitsanweisung zum tatsächlichen Ablauf? Sind Formulare vollständig? Wurden Fristen eingehalten? Kann die verantwortliche Person den Prozess verständlich erklären? Dieser kurze Realitätscheck zeigt Schwachstellen meist früher als eine reine Dokumentenprüfung.
Unterlagen sollten dabei nicht kosmetisch für den Audittermin angepasst werden. Wird eine Lücke entdeckt, ist es besser, sie offen zu benennen, eine wirksame Maßnahme zu vereinbaren und deren Umsetzung nachzuhalten. Genau dafür ist ein internes Audit da: nicht für eine perfekte Kulisse, sondern für bessere, verlässlichere Abläufe.
Ein gut vorbereiteter Auditordner schafft Sicherheit. Noch wertvoller ist jedoch ein System, in dem Verantwortlichkeiten klar sind, Nachweise im Arbeitsprozess entstehen und Verbesserungen tatsächlich umgesetzt werden. Dann wird das Audit vom Pflichttermin zu einem Werkzeug, mit dem Ihr Betrieb Qualität, Effizienz und Compliance dauerhaft steuert.
