Internes Audit: so planen und führen Sie es durch

Stand: Oktober 2026

Interne Audits gehören zu den Pflichten, die in Betrieben am häufigsten unterschätzt werden. Auf dem Papier sind sie schnell erledigt: einmal im Jahr ein paar Fragen stellen, ein Formular ausfüllen, abheften. Ihren eigentlichen Wert entfalten sie erst, wenn sie ehrlich zeigen, wo Regeln und Alltag auseinanderlaufen.

Auf dieser Seite lesen Sie, was ein internes Audit leisten soll, wie Sie ein Auditprogramm aufbauen, welche Anforderungen an interne Auditoren gelten und wie Sie typische Fehler vermeiden. Die Inhalte beziehen sich auf Managementsysteme nach ISO-Normen und geben Anforderungen sinngemäß wieder. Allgemeine Grundlagen erklärt die Seite Audit.

Was ist ein internes Audit?

Ein internes Audit, in der Fachsprache ein Audit erster Seite, wird von der Organisation für sich selbst veranlasst. Es folgt derselben Methodik wie ein Audit durch Kunden oder Zertifizierungsstellen: Kriterien festlegen, Nachweise sammeln, Feststellungen treffen, Bericht schreiben, Maßnahmen verfolgen.

Der Unterschied liegt im Zweck. Beim Zertifizierungsaudit soll ein Dritter bestätigen, dass Anforderungen erfüllt sind. Beim internen Audit will die Organisation selbst wissen, wo sie steht. Das macht es zum wichtigsten Frühwarnsystem im Managementsystem, denn Schwächen werden entdeckt, bevor ein Kunde oder ein externer Auditor sie findet.

Ist das interne Audit Pflicht?

Gesetzlich ist das interne Audit nicht allgemein vorgeschrieben. Es wird verbindlich, sobald Sie eine Norm anwenden, die es fordert, und dies nachweisen wollen. Die ISO-Managementsystemnormen mit gemeinsamer Grundstruktur verlangen interne Audits in geplanten Abständen. Bei ISO 9001 steht die Forderung im Abschnitt zur Bewertung der Leistung (Abschnitt 9.2).

Sinngemäß fordern die Normen:

• Ein oder mehrere Auditprogramme werden geplant, aufgebaut und aufrechterhalten. Darin stehen Häufigkeit, Methoden, Verantwortlichkeiten, Anforderungen an die Planung und die Berichterstattung.
• Kriterien und Umfang jedes Audits werden festgelegt.
• Auditoren werden so ausgewählt, dass Objektivität und Unparteilichkeit gewährleistet sind.
• Die Ergebnisse werden der zuständigen Leitung berichtet.
• Notwendige Korrekturen und Korrekturmaßnahmen werden ohne ungerechtfertigte Verzögerung ergriffen.
• Dokumentierte Information über Programm und Ergebnisse wird aufbewahrt.

Eine feste Häufigkeit nennen die Normen nicht. In der Praxis hat sich ein Durchlauf aller Bereiche innerhalb eines Jahres bewährt, weil Zertifizierungsstellen ein vollständig auditiertes System vor dem Überwachungsaudit erwarten. Entscheidend ist, dass Sie die Häufigkeit begründen können.

Das Auditprogramm: Planung über das Jahr

Das Auditprogramm ist der Rahmen für alle Audits eines Zeitraums. Es beantwortet, welche Bereiche, Prozesse und Normabschnitte wann geprüft werden. Üblich ist eine Jahresplanung in Tabellenform, die Sie bei Bedarf anpassen.

Berücksichtigen Sie bei der Planung die Bedeutung der Prozesse für Ihre Ziele, Ergebnisse früherer Audits, Kundenreklamationen, Änderungen in Organisation und Technik sowie die Risiken. Prozesse mit hohem Risiko oder auffälliger Historie werden häufiger oder tiefer geprüft als stabile Routineabläufe. Dieses Vorgehen entspricht dem risikobasierten Denken, das die Normen insgesamt tragen.

Sinnvoll ist außerdem, Prozess- und Normbezug zu trennen. Ein Prozessaudit folgt einem Ablauf quer durch Abteilungen, etwa vom Angebot bis zur Rechnung. Ein Normaudit hakt dagegen Abschnitte der Norm ab. Wer beides kombiniert, deckt Normanforderungen ab und erkennt zugleich Schnittstellenprobleme.

Ablauf eines internen Audits

1. Auftrag und Ziel klären: Welcher Bereich oder Prozess wird geprüft, gegen welche Kriterien, in welchem Zeitraum?
2. Auditor bestimmen: Eine geeignete, vom Prüfgegenstand unabhängige Person übernimmt die Leitung. Bei größeren Audits kommt ein Team zusammen.
3. Dokumente sichten: Prozessbeschreibungen, Arbeitsanweisungen, Kennzahlen, frühere Berichte und offene Maßnahmen werden gelesen.
4. Auditplan und Fragen vorbereiten: Zeiten, Gesprächspartner und Fragenliste werden festgelegt und den Beteiligten rechtzeitig mitgeteilt. Hilfe bietet die Anleitung zur Audit-Checkliste.
5. Eröffnungsgespräch: Ziel, Ablauf und Spielregeln werden kurz besprochen.
6. Durchführung: Befragen, beobachten, Aufzeichnungen prüfen. Ein Nachweis ist erst dann ein Nachweis, wenn er sich mit einer zweiten Quelle oder einer Aufzeichnung stützen lässt.
7. Abschlussgespräch: Die Feststellungen werden mündlich vorgestellt, Missverständnisse geklärt, Fristen für Maßnahmen vereinbart.
8. Bericht: Der Auditbericht hält Umfang, Kriterien, Feststellungen und Schlussfolgerungen fest.
9. Maßnahmen verfolgen: Korrekturmaßnahmen werden umgesetzt und auf Wirksamkeit geprüft. Offene Punkte gehen in die Managementbewertung ein.

Rechnen Sie für ein kleines Audit eines Prozesses mit Vorbereitung, Durchführung und Berichtsschreibung. Die Durchführung vor Ort nimmt meist den kleinsten Teil der Gesamtzeit ein. Wer die Vorbereitung abkürzt, stellt im Gespräch unspezifische Fragen und erhält unspezifische Antworten.

Wer darf intern auditieren? Anforderungen an Auditoren

Die Normen verlangen keine bestimmte Ausbildung oder Prüfung für interne Auditoren, wohl aber Kompetenz, Objektivität und Unparteilichkeit. Die ISO 19011 beschreibt, welche Kenntnisse und Fähigkeiten sinnvoll sind, sinngemäß:

• Kenntnis der Auditmethodik, also Planung, Gesprächsführung, Nachweisbewertung und Berichtswesen.
• Kenntnis der Norm oder des Regelwerks, nach dem auditiert wird.
• Verständnis für den Prozess oder Bereich, den das Audit betrifft, bei Bedarf mit Unterstützung durch Fachexperten.
• Persönliche Eigenschaften wie Unvoreingenommenheit, Aufmerksamkeit, Kommunikationsstärke und Standhaftigkeit.

Viele Organisationen schulen ihre internen Auditoren in einem mehrtägigen Lehrgang bei Verbänden, Akademien oder Zertifizierungsunternehmen. Die DGQ bietet solche Qualifizierungen an. Der Ratgeber Interner Auditor werden beschreibt den Weg im Detail.

Zentral ist die Unparteilichkeit: Niemand auditiert die eigene Arbeit. In kleinen Betrieben hilft ein Tausch zwischen Abteilungen, oder die Organisation beauftragt einen externen Auditor für das interne Audit. Das bleibt formal ein internes Audit, solange es von der Organisation selbst beauftragt und verantwortet wird.

Interne Revision und internes Audit: der Unterschied

Beide Begriffe werden oft gleichgesetzt, meinen aber nicht dasselbe:

Überschneidungen gibt es, etwa bei Compliance-Themen. Die Methodik des Auditierens ist verwandt. Wer beides betreibt, sollte Zuständigkeiten klar trennen.

Internes Audit und Managementbewertung

Die Ergebnisse interner Audits sind ein Pflicht-Eingang in die Managementbewertung. Die oberste Leitung bewertet dort in geplanten Abständen, ob das Managementsystem noch geeignet, angemessen und wirksam ist und zur strategischen Ausrichtung passt. Berichtet werden unter anderem Auditergebnisse, Stand der Korrekturmaßnahmen und Veränderungen bei Risiken.

Damit schließt sich der Regelkreis aus Planen, Durchführen, Prüfen und Handeln. Das interne Audit ist das Prüfen, die Managementbewertung die Steuerung darüber. Wie diese Bewertung aufgebaut wird, steht im Ratgeber Managementbewertung nach ISO 9001.

Planen Sie die Managementbewertung zeitlich so, dass die Auditberichte vorliegen. Ein Bericht, der nach der Bewertung fertig wird, kann seinen Zweck nicht erfüllen. Setzen Sie sich deshalb interne Fristen für Berichte und Maßnahmen.

Umgang mit Abweichungen

Findet das interne Audit eine Abweichung, folgt ein klarer Ablauf: Zunächst wird die unmittelbare Wirkung eingedämmt (Korrektur). Danach wird die Ursache analysiert, damit sich der Fehler nicht wiederholt (Korrekturmaßnahme). Schließlich wird geprüft, ob die Maßnahme gewirkt hat.

Zwei Fehler treten häufig auf. Erstens bleiben Maßnahmen an Symptomen hängen, etwa „Mitarbeiter nachschulen“, obwohl die Ursache in einer unklaren Anweisung liegt. Zweitens fehlt die Wirksamkeitsprüfung, sodass derselbe Mangel im nächsten Jahr wieder auftaucht. Vertiefende Hinweise bietet der Ratgeber Abweichungen im Audit.

Typische Fehler bei internen Audits

• Abhaken statt prüfen: Fragen werden nur mit „ja“ beantwortet, ohne Nachweise einzusehen.
• Nur Norm, kein Alltag: Die Normabschnitte werden durchgegangen, ohne zu beobachten, wie gearbeitet wird.
• Immer dieselben Prüfer und Fragen: Die Routine verdeckt neue Risiken. Wechseln Sie Auditoren und variieren Sie den Schwerpunkt.
• Keine Unparteilichkeit: Die Qualitätsbeauftragte auditiert ihr eigenes System, ohne dass dies gesondert bewertet wird.
• Zu viele Kleinigkeiten: Eine lange Liste formaler Mängel verdeckt die wenigen echten Schwachstellen. Setzen Sie Prioritäten.
• Kein Nachhalten: Maßnahmen ohne Termin und Verantwortliche werden vergessen.
• Kein Bezug zu Zielen: Das Audit prüft Formales, aber nicht, ob Kundenanforderungen und Unternehmensziele erreicht werden.

Ein Anhaltspunkt für gute Praxis: Wenn Ihre Mitarbeitenden das Audit als hilfreich beschreiben und nicht als Prüfung, die es zu überstehen gilt, sind Sie auf dem richtigen Weg.

Internes Audit in kleinen Organisationen und bei mehreren Normen

Kleine Unternehmen müssen kein aufwendiges Auditsystem aufbauen. Entscheidend ist, dass Planung, Unabhängigkeit, Nachweise und Nachverfolgung erkennbar sind. Ein Jahresplan auf einer Seite, eine schlanke Checkliste und ein knapper Bericht genügen häufig.

Wenden Sie mehrere Normen an, etwa ISO 9001, ISO 14001 und ISO 45001, lohnt sich ein kombiniertes Audit. Dank der gemeinsamen Grundstruktur der Normen lassen sich Themen wie Dokumentenlenkung, interne Audits, Managementbewertung und Korrekturmaßnahmen einmal für alle prüfen. Mehr dazu im Ratgeber Integriertes Managementsystem.

Wie das interne Audit die Zertifizierung unterstützt

Zertifizierungsstellen prüfen in jedem Audit auch, ob Ihre internen Audits geplant, unabhängig und wirksam durchgeführt wurden. Vor dem ersten Zertifizierungsaudit sollte mindestens ein vollständiger Durchlauf des Systems vorliegen. Ein gutes internes Audit verringert das Risiko, dass externe Auditoren Abweichungen finden, die Ihnen vorher unbekannt waren.

Planen Sie das Auditprogramm daher so, dass Ergebnisse rechtzeitig vor dem Überwachungs- oder Rezertifizierungsaudit vorliegen und Maßnahmen umgesetzt werden können. Den Ablauf externer Audits erläutert die Seite Zertifizierung.

Beispiel: Jahresplanung für ein kleines Unternehmen

Ein Betrieb mit etwa 30 Beschäftigten könnte sein Programm so aufbauen. Das Beispiel ist eine mögliche Aufteilung, keine Norm- oder Behördenvorgabe:

Die Verteilung über das Jahr hat einen Vorteil: Das Audit ist kein einmaliger Kraftakt, und die Ergebnisse stehen der Managementbewertung zeitnah zur Verfügung. Zudem entlastet sie einzelne Bereiche, weil nicht alle gleichzeitig geprüft werden.