Ein Compliance Audit beginnt selten erst mit dem Auftaktgespräch. Ob Datenschutz, Arbeitsschutz, Umweltvorgaben, Qualitätsmanagement oder der Einsatz von KI: Die entscheidende Frage lautet schon vorher, ob Regeln im Betriebsalltag tatsächlich gelebt und belegt werden können. Wie läuft ein Compliance Audit ab? In der Praxis folgt es einem klaren Ablauf – von der Festlegung des Prüfungsrahmens bis zur wirksamen Umsetzung von Maßnahmen.
Für Geschäftsführungen und Verantwortliche im Mittelstand ist dabei vor allem eines wichtig: Ein Audit ist keine theoretische Abfrage von Ordnern. Es zeigt, ob Verantwortlichkeiten, Prozesse und Nachweise zusammenpassen. Gerade in Handwerksbetrieben, in denen viele Abläufe über Erfahrung, direkte Abstimmung und kurze Wege funktionieren, werden Lücken oft erst sichtbar, wenn ein externer Prüfer gezielt nachfragt.
Was ein Compliance Audit prüft
Ein Compliance Audit untersucht, ob ein Unternehmen einschlägige gesetzliche, vertragliche und interne Anforderungen erfüllt. Der konkrete Maßstab hängt vom Betrieb ab. Infrage kommen etwa Anforderungen aus dem Datenschutzrecht, dem Arbeits- und Gesundheitsschutz, Umweltauflagen, Exportkontrolle, Antikorruption oder branchenspezifischen Regelwerken. Bei Unternehmen, die KI-Systeme einsetzen oder entwickeln, können zusätzlich Pflichten aus dem AI Act relevant sein.
Davon zu unterscheiden sind Zertifizierungsaudits, beispielsweise nach ISO 9001. Diese prüfen die Erfüllung einer bestimmten Norm. Ein Compliance Audit kann breiter angelegt sein und mehrere Rechtsgebiete sowie interne Richtlinien einbeziehen. Es kann intern zur Selbstkontrolle stattfinden, durch Kunden angefordert werden oder von einer unabhängigen Stelle vorbereitet beziehungsweise durchgeführt werden.
Der Nutzen liegt nicht allein darin, Beanstandungen zu vermeiden. Ein gut vorbereitetes Audit macht auch Reibungsverluste sichtbar: unklare Freigaben, fehlende Schulungsnachweise, uneinheitliche Dokumentation oder Prozesse, die nur mit dem Wissen einzelner Personen funktionieren. Damit wird Compliance zu einem Teil guter Betriebsorganisation.
Wie läuft ein Compliance Audit ab? Die 6 Phasen
1. Prüfungsauftrag und Umfang festlegen
Am Anfang stehen Ziel, Geltungsbereich und Kriterien. Geprüft wird nicht einfach „die Compliance“ des gesamten Unternehmens, sondern ein klar abgegrenzter Bereich. Das kann etwa der Umgang mit Kundendaten, die Lieferantenauswahl, die Baustellendokumentation, der KI-Einsatz im Kundenservice oder ein bestimmter Standort sein.
Der Auditor klärt, welche Gesetze, Normen, Verträge und internen Vorgaben anzuwenden sind. Ebenso wichtig sind Zeitraum, Ansprechpartner und verfügbare Unterlagen. Ein zu weiter Prüfungsumfang bindet unnötig Ressourcen. Ein zu enger Umfang kann dagegen relevante Risiken ausblenden. Für kleinere Betriebe ist ein risikoorientierter Zuschnitt meist sinnvoll: Zuerst werden die Bereiche geprüft, in denen Schäden, Bußgelder, Haftungsrisiken oder operative Störungen besonders wahrscheinlich und folgenreich wären.
2. Unterlagen und Prozesse vorbereiten
In der Vorbereitungsphase fordert der Auditor die relevanten Nachweise an. Dazu zählen je nach Thema Richtlinien, Prozessbeschreibungen, Zuständigkeiten, Schulungsunterlagen, Verträge, Freigaben, Verzeichnisse, Prüfprotokolle und bereits bekannte Abweichungen. Entscheidend ist nicht die Menge der Dokumente, sondern ihre Aussagekraft und Aktualität.
Ein typischer Schwachpunkt: Eine Richtlinie liegt sauber abgelegt vor, aber die Beschäftigten kennen sie nicht oder arbeiten im Alltag anders. Umgekehrt gibt es im Handwerk oft gut funktionierende Routinen, die nirgends nachvollziehbar beschrieben sind. Beides ist im Audit problematisch. Was verbindlich geregelt ist, muss umgesetzt werden. Was zuverlässig umgesetzt wird, sollte in angemessener Form dokumentiert sein.
Bei KI-Compliance reicht es beispielsweise nicht aus, eine allgemeine KI-Richtlinie zu veröffentlichen. Unternehmen müssen auch wissen, welche Systeme genutzt werden, wer sie freigegeben hat, welche Daten verarbeitet werden und wie Mitarbeitende für einen sicheren Einsatz qualifiziert werden.
3. Auftaktgespräch und Auditplan abstimmen
Das Audit startet üblicherweise mit einem Auftaktgespräch. Hier erläutert der Auditor Vorgehen, Zeitplan, Bewertungsmaßstab und Kommunikationswege. Die Beteiligten stimmen ab, welche Bereiche besichtigt, welche Personen interviewt und welche Unterlagen vertieft geprüft werden.
Dieses Gespräch sollte keine reine Formalität sein. Es schafft Klarheit und verhindert Missverständnisse. Verantwortliche sollten offen benennen, wo es bereits bekannte Lücken, Umstellungen oder besondere betriebliche Situationen gibt. Ein neues Software-System, ein Personalwechsel oder ein starkes Wachstum können erklären, warum einzelne Nachweise noch nicht vollständig vorliegen. Sie ersetzen aber keine Korrekturmaßnahmen.
4. Prüfung von Nachweisen, Interviews und Praxis
Jetzt findet die eigentliche Auditierung statt. Auditoren vergleichen die Anforderungen mit der betrieblichen Realität. Sie lesen Dokumente, prüfen Stichproben, sprechen mit Verantwortlichen und Mitarbeitenden und sehen sich Prozesse vor Ort an. Auf einer Baustelle kann das beispielsweise die Unterweisung, die Gefährdungsbeurteilung oder die Ablage von Prüfprotokollen betreffen. Im Büro können Zugriffsrechte, Freigabewege oder der Umgang mit personenbezogenen Daten im Mittelpunkt stehen.
Stichproben sind dabei normal. Ein Auditor kann nicht jeden Vorgang prüfen. Dennoch müssen die ausgewählten Fälle belastbar sein. Werden mehrere ähnliche Fehler gefunden, ist das meist kein Einzelfall mehr, sondern ein Hinweis auf eine systematische Ursache.
Für die Befragten gilt: sachlich antworten, tatsächliche Abläufe schildern und fehlende Informationen nicht schönreden. Widersprüchliche Aussagen oder nachträglich erstellte Nachweise wecken unnötige Zweifel. Ein Audit soll kein Verhör sein, aber es verlangt Verlässlichkeit.
5. Feststellungen bewerten und Abschlussgespräch führen
Die Ergebnisse werden mit dem vereinbarten Maßstab abgeglichen. Je nach Auditart werden Feststellungen unterschiedlich kategorisiert, etwa als Hinweis, Nebenabweichung oder schwerwiegende Abweichung. Manche Prüfungen arbeiten auch mit Risikoklassen oder konkreten Rechtsverstößen.
Im Abschlussgespräch stellt der Auditor die wesentlichen Beobachtungen vor. Gute Auditoren benennen nicht nur die Abweichung, sondern erklären nachvollziehbar, welche Anforderung betroffen ist und welche Belege fehlen oder nicht überzeugen. Das Unternehmen kann Rückfragen stellen, Fakten richtigstellen und Kontext liefern. Das Abschlussgespräch ist jedoch nicht der Ort, um Mängel wegzudiskutieren.
Wichtig ist die Unterscheidung zwischen Symptom und Ursache. Fehlt ein Schulungsnachweis, kann das Problem ein einzelner Ablagefehler sein. Es kann aber auch bedeuten, dass es keine klare Planung, keine Vertretungsregel und keine Kontrolle für Pflichtschulungen gibt. Nur im zweiten Fall wird eine dauerhafte Lösung nötig.
6. Maßnahmen umsetzen und Wirksamkeit nachweisen
Mit dem Auditbericht beginnt die entscheidende Arbeit. Für jede relevante Abweichung sollten Verantwortliche, Fristen, Maßnahmen und ein Nachweis der Wirksamkeit festgelegt werden. Eine Maßnahme „Mitarbeitende informieren“ ist meist zu ungenau. Besser ist: Richtlinie überarbeiten, betroffene Rollen schulen, Teilnahme dokumentieren, Anwendung anhand von Stichproben prüfen und die Wirksamkeit nach einer festgelegten Zeit bewerten.
Nicht jede Feststellung verlangt sofort ein großes Projekt. Kleinere Dokumentationslücken lassen sich oft kurzfristig schließen. Bei grundlegenden Prozessproblemen braucht es dagegen eine Ursachenanalyse und eine realistische Umsetzung in Etappen. Wer zu viele Maßnahmen gleichzeitig startet, riskiert, dass sie im Tagesgeschäft versanden.
Gerade bei wiederkehrenden Audits ist die Nachverfolgung zentral. Der Auditor oder die interne Leitung wird prüfen, ob Maßnahmen nicht nur formal abgeschlossen, sondern tatsächlich wirksam sind. Ein unterschriebener Maßnahmenplan genügt nicht, wenn die gleiche Abweichung im nächsten Audit erneut auftaucht.
Typische Stolpersteine im Mittelstand
Viele Unternehmen scheitern nicht an fehlendem Willen, sondern an unklaren Strukturen. Zuständigkeiten sind mündlich verteilt, Versionen von Dokumenten liegen an verschiedenen Orten und Kontrollen erfolgen nur dann, wenn gerade Zeit ist. Solange alle erfahrenen Personen im Betrieb sind, fällt das kaum auf. Bei Urlaub, Wachstum oder einer Prüfung wird es kritisch.
Ein zweiter Stolperstein ist Überdokumentation. Wer für jeden kleinen Vorgang komplexe Formulare einführt, schafft Widerstand und erhöht die Fehlerquote. Compliance muss zum Risiko und zur Betriebsgröße passen. Ein klarer, schlanker Prozess mit nachvollziehbaren Nachweisen ist wertvoller als ein Handbuch, das niemand nutzt.
Auch fehlende Vorbereitung kostet unnötig Zeit. Wenn Unterlagen erst während des Audits gesucht werden, Ansprechpartner nicht informiert sind oder Abläufe spontan erklärt werden müssen, entsteht ein schlechter Eindruck. Eine interne Vorprüfung hilft, die wichtigsten Nachweise und Schwachstellen rechtzeitig zu erkennen. Apexigma unterstützt dabei praxisnah – mit einem Blick auf Anforderungen, aber ebenso auf Abläufe, die im Betrieb wirklich funktionieren müssen.
So wird das Audit zur Verbesserung statt zur Pflichtübung
Wer ein Compliance Audit nur als Termin mit Prüfer betrachtet, verschenkt Potenzial. Die Feststellungen liefern konkrete Hinweise darauf, wo Risiken entstehen und wo Prozesse stabiler werden müssen. Besonders wirksam wird das Audit, wenn Geschäftsführung, Fachverantwortliche und Mitarbeitende die Ergebnisse gemeinsam in umsetzbare Schritte übersetzen.
Beginnen Sie nicht erst bei der Auditankündigung. Prüfen Sie regelmäßig, ob Verantwortlichkeiten klar sind, Nachweise auffindbar bleiben und neue Anforderungen – etwa beim Einsatz von KI – in bestehende Prozesse integriert werden. Dann wird aus der Prüfung kein hektischer Ausnahmezustand, sondern ein verlässlicher Impuls für einen besser organisierten Betrieb.
