Was ist ein Audit?

Stand: Oktober 2026

Wer zum ersten Mal von einem Audit hört, denkt oft an eine Kontrolle durch Fremde. Tatsächlich ist ein Audit zunächst ein Verfahren: Es gibt einen Maßstab, es gibt Nachweise, und es gibt jemanden, der beides gegenüberstellt und das Ergebnis festhält. Dieselbe Methode wird in der Qualitätssicherung, im Umweltschutz, in der Informationssicherheit, im Arbeitsschutz und in der Finanzwelt angewendet.

Diese Seite erklärt, was der Begriff bedeutet, welche Arten es gibt, wie ein Audit abläuft und wer dabei welche Rolle spielt. Die Begriffe orientieren sich sinngemäß an der Leitlinie ISO 19011, die Audits von Managementsystemen beschreibt. Normtexte werden nicht wiedergegeben, die Norm selbst erhalten Sie über den Normenhandel, zum Beispiel beim DIN-Medienangebot.

Audit Bedeutung: Herkunft und Begriff

Das Wort „Audit“ stammt vom lateinischen audire, also „hören“. Ursprünglich ließ sich ein Auditor Rechenschaft ablegen und hörte sich die Erklärungen der Verantwortlichen an. Heute steht der Begriff für ein strukturiertes Prüfverfahren, bei dem nicht nur zugehört, sondern vor allem Dokumente, Aufzeichnungen und Abläufe betrachtet werden.

Im Sprachgebrauch sind „Audit“, „Prüfung“ und „Begutachtung“ nicht identisch. Ein Audit ist an drei Merkmale gebunden: Es folgt einem festgelegten Verfahren, es stützt sich auf überprüfbare Nachweise, und die auditierende Person ist vom geprüften Gegenstand unabhängig. Fehlt eines davon, handelt es sich eher um eine Besprechung, eine Inspektion oder eine Selbsteinschätzung.

Wozu dient ein Audit?

Ein Audit beantwortet eine einfache Frage: Tun wir das, was wir uns vorgenommen haben, und reicht es aus, um unsere Ziele zu erreichen? Daraus ergeben sich mehrere Nutzen:

• Konformität feststellen: Erfüllt die Organisation die Anforderungen einer Norm, eines Vertrags oder einer gesetzlichen Vorgabe?
• Wirksamkeit prüfen: Funktionieren die eingeführten Regeln im Alltag oder existieren sie nur auf Papier?
• Verbesserung anstoßen: Abweichungen und Beobachtungen liefern konkrete Ansatzpunkte für Korrekturen.
• Vertrauen schaffen: Kunden, Behörden und Geschäftspartner können sich auf das Ergebnis eines unabhängigen Audits stützen.

Ein Audit bewertet keine Personen. Es bewertet, ob ein System, ein Prozess oder ein Produkt die Anforderungen erfüllt. Diese Trennung ist wichtig, damit im Gespräch offen über Schwachstellen gesprochen werden kann.

Interne und externe Audits: 1st, 2nd und 3rd Party

Die gängigste Unterscheidung richtet sich danach, wer auditiert. Man spricht von Audits erster, zweiter und dritter Seite (englisch first-, second- und third-party audit).

Das interne Audit ist bei Managementsystemen nach ISO-Normen eine Pflichtaufgabe. Das Audit durch eine Zertifizierungsstelle ist Teil der Zertifizierung. Wie Sie Lieferanten systematisch prüfen, beschreibt der Ratgeber zum Lieferantenaudit.

Systemaudit, Prozessaudit, Produktaudit

Die zweite Unterscheidung richtet sich nach dem Prüfgegenstand.

Systemaudit

Das Systemaudit betrachtet ein gesamtes Managementsystem, etwa ein Qualitäts-, Umwelt- oder Informationssicherheitsmanagementsystem. Geprüft wird, ob alle Anforderungen der zugrunde liegenden Norm abgedeckt, umgesetzt und wirksam sind. Das ist die typische Form bei Zertifizierungen, zum Beispiel nach ISO 9001.

Prozessaudit

Das Prozessaudit nimmt einen einzelnen Ablauf von Anfang bis Ende in den Blick, etwa den Auftragsdurchlauf, die Wareneingangsprüfung oder die Reklamationsbearbeitung. Es fragt, ob der Prozess beherrscht wird, ob seine Kennzahlen stimmen und ob die Schnittstellen funktionieren.

Produktaudit

Das Produktaudit untersucht ein fertiges Produkt oder eine erbrachte Dienstleistung aus Sicht des Kunden. Stichproben werden gegen Spezifikationen, Zeichnungen oder Prüfpläne gehalten. Es ergänzt die Prüfungen in der Produktion und zeigt, was tatsächlich beim Kunden ankommt.

Weitere Auditarten in der Praxis

Neben den Grundformen haben sich themenbezogene Audits etabliert. Sie nutzen dieselbe Methodik, legen aber unterschiedliche Kriterien an:

• Compliance-Audit: Prüfung der Einhaltung gesetzlicher, behördlicher oder vertraglicher Vorgaben.
• Lieferantenaudit: Bewertung eines Zulieferers durch den Abnehmer, meist vor Ort.
• Umwelt-, Energie- und Arbeitsschutzaudit: Prüfung der jeweiligen Managementsysteme, etwa nach ISO 14001, ISO 50001 oder ISO 45001.
• Informationssicherheitsaudit: Prüfung nach ISO 27001 oder branchenspezifischen Regelwerken wie TISAX.
• Finanzaudit: Prüfung von Rechnungslegung und Kontrollsystemen. Hier spricht man meist von Abschlussprüfung oder Revision, die rechtlichen Grundlagen unterscheiden sich von den normbasierten Managementaudits.
• Kombiniertes oder integriertes Audit: Mehrere Managementsysteme werden gemeinsam in einem Audit geprüft.

Je nach Branche kommen eigene Bezeichnungen hinzu: In der Automobilindustrie sind Prozess- und Produktaudits etablierte Formen der Lieferantenbewertung, im Gesundheitswesen werden Qualitätsaudits in Kliniken und Laboren durchgeführt, in der Lebensmittelwirtschaft sind Hygiene- und Rückverfolgbarkeitsaudits üblich. Die Methodik bleibt dieselbe, nur die Kriterien wechseln.

Ablauf eines Audits in sieben Schritten

Auch wenn jede Organisation Details anders regelt, folgt ein Managementsystem-Audit sinngemäß dem Aufbau der ISO 19011:

1. Audit anstoßen: Ziele, Umfang und Kriterien werden festgelegt, ein Auditleiter wird bestimmt, die Machbarkeit wird geklärt.
2. Audit vorbereiten: Relevante Dokumente werden gesichtet, ein Auditplan mit Zeiten und Gesprächspartnern wird erstellt, Arbeitsunterlagen wie Fragenlisten werden vorbereitet.
3. Eröffnungsgespräch: Das Auditteam stellt sich vor, bestätigt Ablauf und Umfang und klärt organisatorische Fragen.
4. Informationen sammeln: Durch Interviews, Beobachtung von Tätigkeiten und Einsicht in Aufzeichnungen entstehen Auditnachweise.
5. Feststellungen bewerten: Die Nachweise werden mit den Kriterien verglichen. Daraus entstehen Feststellungen, die Konformität oder Abweichung beschreiben.
6. Abschlussgespräch und Bericht: Das Team stellt die Ergebnisse vor und fasst sie im Auditbericht zusammen, wie im Ratgeber Auditbericht schreiben beschrieben.
7. Nachverfolgung: Die auditierte Stelle plant und setzt Korrekturmaßnahmen um, das Team oder die zuständige Stelle prüft deren Wirksamkeit.

Ein praktisches Hilfsmittel für Schritt 2 ist eine gute Fragenliste. Hinweise dazu finden Sie unter Audit-Checkliste erstellen und Auditfragen: Beispiele.

Rollen und Beteiligte

Die ISO 19011 beschreibt die Rollen sinngemäß wie folgt. In kleinen Organisationen vereinen einzelne Personen mehrere Aufgaben, solange die Unabhängigkeit gewahrt bleibt.

Wie man selbst in diese Rolle kommt, erläutert der Ratgeber Interner Auditor werden.

Zur Einordnung der Rolle des Auditleiters: Er entscheidet nicht über Sanktionen, sondern berichtet. Konsequenzen zieht die Leitung der auditierten Organisation oder, bei Zertifizierungen, die zuständige Stelle nach einer unabhängigen Prüfung der Unterlagen. Diese Trennung zwischen Feststellen und Entscheiden ist ein Kernprinzip glaubwürdiger Audits.

Wichtige Audit-Begriffe sinngemäß erklärt

Die Fachsprache des Auditierens ist klar abgegrenzt. Die folgenden Begriffe begegnen Ihnen in jedem Bericht:

• Auditkriterien: Der Maßstab, an dem geprüft wird, zum Beispiel Normforderungen, interne Regeln, Verträge oder Gesetze.
• Auditnachweise: Überprüfbare Informationen, die zu den Kriterien in Beziehung stehen: Aufzeichnungen, Aussagen, beobachtete Tatsachen.
• Auditfeststellungen: Ergebnis der Bewertung der Nachweise gegen die Kriterien, positiv wie negativ.
• Auditschlussfolgerungen: Gesamtergebnis des Audits, nachdem Ziele und Feststellungen zusammen betrachtet wurden.
• Auditumfang: Reichweite des Audits, etwa Standorte, Bereiche, Prozesse und Zeitraum.
• Auditprogramm: Gesamtheit der geplanten Audits für einen bestimmten Zeitraum und Zweck.
• Auditplan: Beschreibung der Tätigkeiten und Abläufe eines einzelnen Audits.
• Stichprobe: Auditieren heißt auswählen. Es wird nie alles geprüft, sondern ein repräsentativer Ausschnitt.

Weitere Begriffe finden Sie im Lexikon.

Grundsätze des Auditierens

Die ISO 19011 stellt Grundsätze auf, die ein Audit glaubwürdig machen. Sinngemäß lauten sie:

• Integrität: Auditoren handeln ehrlich, sorgfältig und kompetent.
• Sachliche Darstellung: Berichte geben wahrheitsgemäß und genau wieder, was festgestellt wurde.
• Berufliche Sorgfalt: Auditoren urteilen mit der Sorgfalt, die der Aufgabe angemessen ist.
• Vertraulichkeit: Informationen aus dem Audit werden geschützt.
• Unabhängigkeit: Auditoren prüfen nichts, für das sie selbst verantwortlich sind.
• Nachweisgestützte Vorgehensweise: Schlussfolgerungen beruhen auf überprüfbaren Nachweisen.
• Risikobasierter Ansatz: Der Aufwand richtet sich nach der Bedeutung der Themen für die Organisation.

Gerade die Unabhängigkeit ist in kleinen Betrieben eine Herausforderung. Eine Lösung ist, dass sich Bereichsverantwortliche gegenseitig auditieren oder dass ein externer Dienstleister das interne Audit übernimmt.

Ergebnisse eines Audits: Abweichungen und Hinweise

Am Ende stehen Feststellungen. Üblich ist eine Einteilung nach Schwere, die allerdings je nach Organisation und Zertifizierungsstelle unterschiedlich benannt wird:

Wie Sie mit Abweichungen umgehen, zeigt der Ratgeber Abweichungen im Audit.

Audit, Inspektion, Zertifizierung: Abgrenzung

Im Alltag werden Begriffe vermischt. Die Abgrenzung hilft bei der Suche nach der passenden Stelle:

• Audit und Zertifizierung: Ein Zertifizierungsaudit ist ein Audit durch Dritte. Die Zertifizierung umfasst zusätzlich die Entscheidung über ein Zertifikat und dessen Überwachung.
• Audit und Akkreditierung: Bei der Akkreditierung wird eine Konformitätsbewertungsstelle begutachtet, also derjenige, der selbst auditiert oder prüft. Die Begutachtung folgt ähnlichen Prinzipien, heißt aber Begutachtung (Assessment).
• Audit und Inspektion: Eine Inspektion untersucht ein Objekt, eine Anlage oder ein Produkt und bewertet dessen Konformität. Zuständig sind dafür Inspektionsstellen, siehe Inspektionsstellen.
• Audit und Review: Eine Managementbewertung ist eine Selbstbewertung der obersten Leitung, kein unabhängiges Audit.

Akkreditierte Stellen für Zertifizierung, Prüfung und Inspektion finden Sie im Verzeichnis akkreditierter Stellen.

Als Auditierter gut vorbereitet sein

Wer auditiert wird, muss nichts verstecken und nichts auswendig lernen. Hilfreich ist eine sachliche Vorbereitung:

• Klären Sie vorab Umfang, Termin und Ansprechpartner und informieren Sie die betroffenen Bereiche.
• Stellen Sie sicher, dass Aufzeichnungen aktuell und auffindbar sind. Ein Nachweis, der nicht gefunden wird, zählt im Zweifel nicht.
• Antworten Sie auf die gestellte Frage, ohne zu spekulieren. Wenn Sie etwas nicht wissen, benennen Sie, wer es weiß.
• Sehen Sie Feststellungen als Information. Eine Abweichung ist ein Befund über das System, kein Urteil über Menschen.
• Planen Sie nach dem Audit Zeit für Korrekturen ein und vermerken Sie Fristen.