Abweichung im Audit: Was jetzt passiert – und was Sie liefern müssen

Der Auditor blättert zurück, macht eine kurze Notiz und sagt den Satz, den niemand hören will: „Das schauen wir uns nachher nochmal genauer an."

Ab diesem Moment denkt der halbe Raum nur noch an eine Frage: Fallen wir jetzt durch?

Die kurze Antwort: fast sicher nicht. Die längere Antwort ist interessanter – denn sie erklärt, warum ein Audit ohne jede Feststellung für uns kein gutes Zeichen ist, was zwischen einer „Minor" und einer „Major" wirklich liegt, und welche drei Dinge Sie danach liefern müssen. Es sind nämlich drei, nicht eins. Und der teuerste Fehler nach einem Audit besteht darin, nur das erste davon zu tun.

Ein Audit ohne Feststellungen ist kein Ziel

Ein Zertifizierungsaudit ist keine Prüfung mit Bestehensgrenze, sondern eine Stichprobe. Der Auditor vergleicht das, was er sieht, mit dem, was gefordert ist – und hält fest, wo beides auseinanderläuft.

Die ISO 19011, die Leitlinie für das Auditieren von Managementsystemen, formuliert das in Abschnitt 6.4.8 sehr nüchtern: Auditnachweise werden anhand der Auditkriterien bewertet, und Auditfeststellungen können entweder auf Konformität oder Nichtkonformität hinweisen. „Feststellung" ist also kein Schimpfwort. Auch „hier läuft es gut" ist eine Feststellung.

Was in der Praxis auffällt: Betriebe, die ihr System wirklich benutzen, sammeln im Audit oft mehr Feststellungen als Betriebe, die vier Wochen lang aufgeräumt haben. Nicht weil sie schlechter arbeiten, sondern weil es bei ihnen etwas zu sehen gibt. Wer nur zeigt, was er vorbereitet hat, produziert ein sauberes Audit ohne jeden Erkenntnisgewinn – und bezahlt trotzdem denselben Preis.

Deshalb unsere Haltung ganz offen: Wir kommen nicht, um Ihnen nichts zu finden. Wir kommen, um Ihnen etwas mitzugeben, das Sie ohne uns übersehen hätten.

Die drei Kategorien – und was sie unterscheidet

Fast alle Zertifizierungsstellen arbeiten mit einer dreistufigen Logik. Wichtig zu wissen: Diese Einstufung steht nicht in der ISO 9001. Die ISO 9001 kennt nur den Begriff der Nichtkonformität, nicht deren Schweregrad. Die Einstufung ist eine Regel der Zertifizierungsstelle – die ISO 19011 lässt sie in 6.4.8 ausdrücklich zu: Nichtkonformitäten können je nach Kontext der Organisation und deren Risiken klassifiziert werden, quantitativ (etwa 1 bis 5) oder qualitativ (etwa unbedeutend, bedeutend).

Das erklärt auch, warum dieselbe Beobachtung bei zwei Zertifizierern unterschiedlich landen kann. Fragen Sie deshalb vorher, nach welchen Regeln eingestuft wird.

Kategorie	Was dahintersteckt	Typisches Beispiel	Folge fürs Zertifikat
Verbesserungspotenzial (Hinweis, OFI)	Kein Verstoß. Etwas erfüllt die Anforderung, könnte aber besser laufen.	Die Lieferantenbewertung erfüllt die Norm, besteht aber aus einer Excel-Liste, die niemand außer einer Person lesen kann.	Keine. Keine Pflicht zu handeln.
Minor (geringfügige Abweichung)	Eine Anforderung ist punktuell nicht erfüllt. Ein Einzelfall, kein Systemversagen.	In 1 von 8 geprüften Schulungsnachweisen fehlt die Unterschrift.	Zertifikat wird in aller Regel erteilt – gegen einen Maßnahmenplan mit Frist.
Major (wesentliche Abweichung)	Eine Anforderung ist systematisch oder vollständig nicht erfüllt, oder die Wirksamkeit des Systems ist ernsthaft gefährdet.	Es gibt gar keine Managementbewertung. Oder: Reklamationen werden erledigt, aber nie auf Ursachen untersucht. Oder: nichtkonforme Ware ging nachweislich an Kunden.	Kein Zertifikat, bevor die Abweichung behoben und der Nachweis geprüft ist.

Die Trennlinie zwischen Minor und Major läuft fast immer entlang derselben zwei Fragen: Ist es ein Einzelfall oder ein Muster? Und ist ein Ergebnis beim Kunden gelandet? Ein fehlender Nachweis in einer Stichprobe ist ein Ausrutscher. Derselbe Nachweis, der in acht von acht Fällen fehlt, ist kein Ausrutscher mehr, sondern ein Prozess, den es nicht gibt.

Was eine Major praktisch bedeutet

Zunächst: Sie sind nicht „durchgefallen". Eine wesentliche Abweichung beendet das Audit nicht und macht die investierte Zeit nicht wertlos. Sie verschiebt nur die Zertifizierungsentscheidung nach hinten, bis Sie geliefert haben.

Der Ablauf ist bei seriösen Stellen im Kern immer gleich:

1. Die Abweichung wird schriftlich formuliert – mit dem konkreten Nachweis und dem Normabschnitt, gegen den sie läuft.
2. Sie bekommen eine Frist. Wie lang, legt die Zertifizierungsstelle fest; üblich sind 30 Tage bis drei Monate.
3. Sie reichen Ihre Stellungnahme mit Nachweisen ein.
4. Der Auditor prüft, ob das reicht. Bei einer Major reicht meist kein Papier – es braucht einen Beleg, dass die neue Regelung tatsächlich läuft. Manchmal ist dafür ein kurzer Nachbesuch nötig.
5. Erst danach fällt die Zertifizierungsentscheidung.

Die ISO 19011 beschreibt genau diesen Nachgang in Abschnitt 6.7: Der Abschluss dieser Maßnahmen sowie deren Wirksamkeit sollten verifiziert werden – und diese Verifizierung kann Bestandteil eines nachfolgenden Audits sein. Übersetzt: Eine Abweichung ist nicht erledigt, wenn Sie etwas geschrieben haben. Sie ist erledigt, wenn jemand geprüft hat, dass es wirkt.

Und im laufenden Zyklus? Findet ein Überwachungsaudit eine Major und passiert danach nichts, kann das Zertifikat ausgesetzt und am Ende zurückgezogen werden. Das ist kein Drohszenario, sondern der Grund, warum ein Zertifikat überhaupt etwas wert ist: Es lässt sich verlieren.

Die drei Antworten, die Sie liefern müssen

Hier liegt der eigentliche Knackpunkt – und der Grund, warum so viele Stellungnahmen in die zweite Runde gehen. Die ISO 9001 verlangt in Abschnitt 10.2.1 nämlich drei verschiedene Dinge, und die meisten Unternehmen liefern nur das erste.

Erstens: die Korrektur. Abschnitt 10.2.1 a) verlangt, auf die Nichtkonformität zu reagieren, Maßnahmen zur Korrektur zu ergreifen und mit den Folgen umzugehen. Das ist der Sofortverband: Die fehlende Unterschrift wird nachgeholt, die falsche Version aus dem Umlauf genommen.

Zweitens: die Ursache. Abschnitt 10.2.1 b) verlangt, die Notwendigkeit von Maßnahmen zur Beseitigung der Ursachen zu bewerten – und zwar durch Überprüfen und Analysieren der Nichtkonformität, Bestimmen der Ursachen und, das wird am häufigsten übersehen, Bestimmen, ob vergleichbare Nichtkonformitäten bestehen oder auftreten könnten. Also: Wo noch? Wenn ein Schulungsnachweis fehlt – wie sieht es in den anderen Abteilungen aus?

Drittens: die Korrekturmaßnahme und ihr Nachweis. Nach 10.2.1 c) und d) leiten Sie die erforderliche Maßnahme ein und überprüfen die Wirksamkeit der ergriffenen Korrekturmaßnahmen. Und 10.2.2 verlangt, dokumentierte Information aufzubewahren – als Nachweis der Art der Nichtkonformität, der getroffenen Maßnahmen und der Ergebnisse.

Der Unterschied zwischen Punkt 1 und Punkt 3 entscheidet über den Erfolg Ihrer Stellungnahme. Ein Beispiel, das wir in Varianten ständig sehen:

Feststellung: In 3 von 10 geprüften Aufträgen wurde die Freigabe vor Auslieferung nicht dokumentiert.

Schwache Antwort: „Die drei Freigaben wurden nachträglich dokumentiert." → Das ist ausschließlich die Korrektur. Nächstes Jahr steht dieselbe Feststellung wieder im Bericht.

Tragfähige Antwort: „Die drei Freigaben wurden nachdokumentiert (Korrektur). Ursache: Die Freigabe war im Ablauf vorgesehen, aber im Auftragsformular gab es kein Feld dafür – bei Zeitdruck fiel sie deshalb weg. Wir haben alle 40 Aufträge des Quartals geprüft, betroffen waren 11. Das Formular hat ab dem 1.9. ein Pflichtfeld, ohne das der Auftrag nicht abgeschlossen werden kann. Wirksamkeit: Stichprobe von 15 Aufträgen im Oktober, alle vollständig – Nachweis anbei."

Die zweite Antwort ist keine Fleißarbeit, sondern schlicht das, was die Norm verlangt. Und sie hat einen angenehmen Nebeneffekt: Diese Feststellung kommt nicht wieder.

Ein Detail, das oft durcheinandergeht: 8.7 ist nicht 10.2

Ein Missverständnis, das regelmäßig für Verwirrung sorgt: Die Norm behandelt fehlerhafte Produkte und fehlerhafte Systeme an zwei verschiedenen Stellen.

Abschnitt 8.7 regelt die Steuerung nichtkonformer Ergebnisse – also das fehlerhafte Teil, die falsch erbrachte Dienstleistung. Er verlangt, dass solche Ergebnisse gekennzeichnet und gesteuert werden, um unbeabsichtigten Gebrauch oder Auslieferung zu verhindern, und nennt vier zulässige Wege damit umzugehen: Korrektur, Aussonderung bzw. Sperrung, Benachrichtigung des Kunden oder Sonderfreigabe.

Abschnitt 10.2 dagegen regelt die Nichtkonformität als solche – inklusive Ursachenanalyse.

Praktisch heißt das: Ein einzelnes fehlerhaftes Teil sauber auszusondern erfüllt 8.7, aber noch lange nicht 10.2. Wer im Audit auf die Frage nach der Ursachenanalyse den Sperrbereich zeigt, hat die falsche Antwort auf die richtige Frage gegeben.

Sie dürfen widersprechen – und sollten es tun

Ein Punkt, der viel zu selten gesagt wird: Eine Auditfeststellung ist kein Urteil, gegen das es keine Instanz gibt.

Die ISO 19011 sieht in 6.4.8 ausdrücklich vor, dass Feststellungen gemeinsam mit der auditierten Organisation überprüft werden, um zu bestätigen, dass die Auditnachweise genau sind und die Nichtkonformitäten verstanden wurden. Weiter heißt es dort: Es sollten alle Anstrengungen unternommen werden, um auseinandergehende Auffassungen auszuräumen – und nicht ausgeräumte Punkte gehören in den Auditbericht.

Wenn der Auditor also etwas falsch verstanden hat, sagen Sie es. Nicht in der Stellungnahme drei Wochen später, sondern in der Abschlussbesprechung, solange die Nachweise noch auf dem Tisch liegen. Zwei Fragen, die dabei fast immer helfen:

• „Gegen welche Anforderung genau läuft das?" Eine Abweichung ohne konkreten Normbezug ist keine Abweichung, sondern eine Meinung.
• „Welcher Nachweis liegt dem zugrunde?" Manchmal stellt sich heraus, dass die eine Datei, die den Fall entkräftet, schlicht nicht vorgelegt wurde.

Ein guter Auditor hat damit kein Problem. Er hat ein Problem mit Diskussionen ohne Beleg – aber nicht mit einem Beleg, den er noch nicht kannte.

Die realistische Einordnung

Die überwiegende Zahl der Erstzertifizierungsaudits endet mit einer Handvoll geringfügiger Abweichungen und ein paar Hinweisen. Wesentliche Abweichungen sind die Ausnahme, und wenn sie auftreten, dann meist an denselben drei Stellen: keine echte Managementbewertung, ein internes Auditprogramm, das nur auf dem Papier existiert, oder Reklamationen ohne jede Ursachenanalyse.

Alle drei haben eines gemeinsam: Man sieht sie schon vor dem Audittermin. Weshalb die ehrlichste Vorbereitung nicht darin besteht, Ordner zu sortieren, sondern sich diese drei Punkte anzuschauen.

Fazit

Eine Abweichung im Audit ist kein Durchfallen. Sie ist das Ergebnis, für das Sie bezahlt haben – die Stelle, an der ein Außenstehender etwas gesehen hat, das Ihnen selbst nicht mehr auffällt.

Entscheidend ist, was Sie danach damit machen. Wer nur den Einzelfall repariert, hat eine Aufgabe erledigt. Wer die Ursache sucht, die Reichweite prüft und die Wirksamkeit belegt, hat sein System verbessert – und bekommt dieselbe Feststellung im nächsten Jahr nicht noch einmal.

Und falls Ihnen jemand ein Audit verspricht, bei dem garantiert nichts gefunden wird: Das ist kein Qualitätsversprechen. Das ist die Ankündigung, nicht genau hinzusehen.

---

Sie haben eine offene Abweichung aus dem letzten Audit und sind unsicher, ob Ihre Stellungnahme trägt? Schicken Sie uns die Feststellung im Wortlaut – im kostenlosen Erstgespräch sagen wir Ihnen, ob Korrektur, Ursachenanalyse und Wirksamkeitsnachweis vollständig sind oder wo noch etwas fehlt.