Bausteine für das Qualitätsmanagement nach ISO 9001Qualitätsaudit vorbereiten und durchführen

Was ist ein Qualitätsaudit?

Bei einem Audit wird ein Unternehmen nach einem festgelegten Verfahren und anhand festgelegter Kriterien oder Standards geprüft und bewertet. Bei einem Qualitätsaudit bezieht sich diese Prüfung und Bewertung auf das Funktionieren des Qualitätsmanagementsystems sowie auf die Qualität der Prozesse, Produkte und Dienstleistungen des Unternehmens.

Dabei muss sich das Audit nicht auf das gesamte Unternehmen beziehen; es können auch nur ausgewählte Teile eines Unternehmens geprüft und bewertet werden.

Meist ist bei einem Qualitätsaudit die Qualitätsnorm DIN EN ISO 9001 maßgeblich für den Inhalt der Prüfung, das Verfahren und die Kriterien. Unternehmen, die die Anforderungen der Norm korrekt erfüllen und konform sind, können dies von einem unabhängigen Dritten, einem Auditor einer Zertifizierungsgesellschaft, prüfen und bestätigen lassen.

Sind alle Konformitätskriterien erfüllt, erhalten Sie ein Zertifikat. Dieses ISO 9001-Zertifikat hat seit vielen Jahren im Geschäftsleben global eine große Bedeutung.

Wie ein Audit von Managementsystemen ablaufen soll, ist in der Norm DIN EN ISO 19011:2018 beschrieben und festgelegt. Sie ist ein Leitfaden mit Regeln für Unternehmen und das Audit durchführende Personen und Organisationen. Unter anderem betreffen diese:

• Audit-Prinzipien,
• die Steuerung von Audit-Programmen,
• die Durchführung von Audits und
• die Kompetenzen von Auditoren.

Arten von Qualitätsaudits

Die DIN EN ISO 9001 macht keine Angaben dazu, in welcher Form das Qualitätsmanagement eines Unternehmens geprüft werden soll, damit es das Zertifikat „ISO 9001 geprüft“ erhält. Die Norm fordert nur, dass regelmäßig interne Audits durchgeführt werden.

Dennoch können sich Unternehmen kein Zertifikat selbst ausstellen. Das können nur akkreditierte Zertifizierungsstellen. Sie prüfen und bewerten im Rahmen eines Zertifizierungsaudits, ob ein Unternehmen die Anforderungen der ISO 9001 erfüllt und konform ist.

Deshalb sollten Sie bei Ihren Qualitätsaudits unterscheiden:

Internes Qualitätsaudit

Eine neutrale Person, meist der interne Beauftragte für das Qualitätsmanagement, muss regelmäßig die für die Produkt- und Prozessqualität relevanten Bereiche eines Unternehmens daraufhin prüfen, wie gut die Qualitätsziele und Qualitätsvorgaben erreicht und wie die Anforderungen der Norm erfüllt werden.

Lieferantenaudit

Das Lieferantenaudit wird von einem Kunden bei seinem Lieferanten durchgeführt. Das Kundenunternehmen oder ein spezieller Dienstleister prüft, inwiefern der Lieferant für den Kunden wichtige Kriterien erfüllt; zum Beispiel in Bezug auf Lieferfähigkeit, Produktqualität oder Mängelbeseitigung. Das Lieferantenaudit findet meist statt, wenn ein neuer Lieferant in den Lieferantenstamm aufgenommen werden soll. Aber auch bestehende Lieferanten können einem regelmäßigen Audit unterzogen werden.

Zertifizierungsaudit und Re-Zertifizierungsaudit

Das Zertifizierungsaudit wird von einem externen Prüfer durchgeführt, der für das Qualitätsaudit befugt ist. Dazu ist er von der Deutschen Akkreditierungsstelle (DAkkS) als Prüfer für die ISO 9001 akkreditiert. Er prüft, ob und wie die Anforderungen der Norm erfüllt sind. Je nach Ergebnis seiner Prüfung empfiehlt er seiner Zertifizierungsstelle, dass das ISO 9001-Zertifikat für das geprüfte Unternehmen ausgestellt wird.

Ist das Zertifikat nach DIN EN ISO 9001 erteilt, muss alle drei Jahre re-zertifiziert werden, damit es gültig bleibt. Die Re-Zertifizierung muss mindestens 90 Tage vor Ablauf des Zertifikats durchgeführt werden.

Überwachungsaudit

Zwischen den Zertifizierungs- und Re-Zertifizierungsaudits finden jährlich sogenannte Überwachungsaudits statt. Dabei werden nur Teile des Qualitätsmanagementsystems geprüft. Bewertet werden insbesondere Prozessqualität, die Konformität von Produkten und Dienstleistungen sowie die Kundenzufriedenheit. Außerdem wird geprüft, ob die Maßnahmen, die nach dem vorangegangenen Audit als notwendig erachtet wurden, auch umgesetzt werden.

Audit aus besonderem Anlass

Außerdem kann es weitere Audits geben, wenn beispielsweise ein neuer Standort oder Betriebsprozess eingerichtet wird. Auch bei schwerwiegenden Kundenbeschwerden kann es zu einem speziellen Audit kommen.

Systemaudit

Die Geschäftsleitung muss das Qualitätsmanagementsystem der Organisation in geplanten Abständen insgesamt bewerten. Sie prüft, ob das Qualitätsmanagementsystem selbst den Anforderungen noch genügt und die Qualitätsziele erreicht werden. Dabei muss sie auch beurteilen, ob das Qualitätsmanagement noch zur strategischen Ausrichtung des Unternehmens passt.

Zudem kann das Management-Review, wie es in der Norm ISO 9001 vorgesehen ist, als eine Art Audit des Managements und der Geschäftsleitung gesehen werden.

Bei allen Arten von Qualitätsaudit geht es darum, das praktizierte Qualitätsmanagement eines Unternehmens mit den Anforderungen einer Norm zu vergleichen und die Konformität zu prüfen. Bei der Zertifizierung erfolgt dies durch eine externe Stelle.

Dementsprechend wird definiert und unterschieden:

• Konformitätsbewertung: Darlegung, dass festgelegte Anforderungen bezogen auf ein Produkt, einen Prozess, ein System, eine Person oder eine Stelle erfüllt sind (DIN EN ISO/IEC 17000:2005)
• Zertifizierung: Bestätigung durch eine dritte Seite, dass Produkte, Prozesse, Systeme oder Personen mit festgelegten Anforderungen (Normen) konform sind (nach: DIN EN ISO/IEC 17000:2005)

Aufgaben im Rahmen des Qualitätsaudits

Die DIN EN ISO 9001 macht zum Qualitätsaudit in Abschnitt 9.2 folgende Vorgaben: Die Organisation muss in geplanten Abständen interne Audits durchführen, um Informationen darüber zu erhalten, ob das Qualitätsmanagementsystem die Anforderungen der Organisation an ihr Qualitätsmanagementsystem und die Anforderungen dieser internationalen Norm erfüllt.

Dabei muss geprüft werden, ob die Qualitätsplanung wirksam verwirklicht und das Managementsystem aufrechterhalten wird.

Die Organisation muss im Einzelnen:

• ein oder mehrere Auditprogramme planen, aufbauen, verwirklichen und aufrechterhalten
• die Häufigkeit von Audits festlegen
• Methoden zum Audit festlegen
• Verantwortlichkeiten festlegen
• Anforderungen an die Planung formulieren
• Berichterstattung vorsehen
• Bedeutung der betroffenen Prozesse erkennen
• Änderungen mit Einfluss auf die Organisation festhalten
• Ergebnisse vorheriger Audits berücksichtigen
• Audit-Kriterien festlegen
• den Umfang des Audits festlegen
• Auditoren so auswählen und Audits so durchführen, dass Objektivität und Unparteilichkeit des Audit-Prozesses sichergestellt sind
• die Ergebnisse der Audits gegenüber der zuständigen Leitung berichten
• geeignete Korrekturen und Korrekturmaßnahmen ohne ungerechtfertigte Verzögerung umsetzen
• dokumentierte Information als Nachweis der Verwirklichung des Audit-Programms aufbewahren
• dokumentierte Informationen als Nachweis der Ergebnisse der Audits aufbewahren

Wann muss ein Qualitätsaudit durchgeführt werden?

Für interne Qualitätsaudits, wie sie im Abschnitt 9.2 der ISO 9001 erläutert sind, gibt es keine fest vorgegebenen Termine. Wichtig ist nur: Es muss Audits geben und Sie müssen geplant und regelmäßig durchgeführt werden.

Meist ist es zweckmäßig, nicht das gesamte Unternehmen komplett zu prüfen, sondern einzelne Bereiche in regelmäßigen, aber etwas versetzten Zeitabständen. Möglich wäre beispielsweise eine jährliche Prüfung der Bereiche Entwicklung, Fertigung, Montage etc. als Vorlauf zu einem Überwachungsaudit für das ISO-Zertifikat.

Außerdem sollte ein internes Audit bei einem besonderen Anlass vorgesehen werden; wenn beispielsweise massive Qualitätsprobleme auftauchen, schwerwiegende Kundenbeschwerden eingehen oder ein neuer Produktionsbereich aufgebaut wurde.

Wenn das Unternehmen die Zertifizierung nach DIN EN ISO 9001 erreichen will, dann sind die Audit-Termine fest vorgegeben. Maßgeblich ist, wann die Zertifizierung vorliegen soll. Daraus ergeben sich die Termine für die einzelnen Audits zur Zertifizierung (als Richtwerte):

• Vorbereitung: ab sofort (Dauer ca. 3 bis 12 Monate)
• Einführungs- oder Vorgespräch mit dem Auditor: 2-6 Monate vor Stufe-1-Audit
• Stufe-1-Audit, Voraudit vor dem ersten Hauptaudit: 1-3 Monate vor Stufe-2-Audit
• Stufe-2-Audit, Haupt- oder Erstaudit: 1-2 Monate vor Zertifizierung
• gegebenenfalls Nachaudit: 1 Monat nach Stufe-2-Audit
• Zertifizierung: Zertifikat liegt vor
• Überwachungsaudit: 12 und 24 Monate nach der Zertifizierung
• Re-Zertifizierungsaudit: 33 Monate nach der Zertifizierung

Zertifizierungsaudit (Erst-Zertifizierung) vorbereiten

Ausgangspunkt des Zertifizierungsaudits ist die Entscheidung der Geschäftsleitung, die Zertifizierung anzustreben und durchzuführen. Dazu wird unter anderem geklärt, für welchen Unternehmens- und Anwendungsbereich (Standorte, Produktgruppen) das Audit durchgeführt werden soll.

Wenn diese Entscheidung getroffen ist, muss Schritt für Schritt ein Qualitätsmanagementsystem im Unternehmen aufgebaut und betrieben werden, das die Anforderungen der DIN EN ISO 9001 erfüllt.

Grundlage für ein Audit ist, dass es ein funktionierendes Qualitätsmanagementsystem im Unternehmen gibt, das den Anforderungen der DIN EN ISO 9001 genügt. Denn genau das wird bei der Zertifizierung geprüft. Voraussetzung dafür sind demnach vor allem:

• Qualitätspolitik und Qualitätsziele sind beschrieben
• Anforderungen von Stakeholdern, insbesondere von Kunden und Lieferanten, sind analysiert und dokumentiert
• Risikobewertungen sind durchgeführt
• Prozesslandkarten und Prozessbeschreibungen sind vorhanden für: Leistungserbringung, Leitung, Risikomanagement, Personalentwicklung, Umgang mit Dokumenten und Aufzeichnungen, Vertrieb, Entwicklung, Lieferantenauswahl, Lieferantenfreigabe und Lieferantenkontrolle, Einkauf, Wareneingang, Fremdvergaben
• Prozessbeschreibungen sind vorhanden zu stabilen und beherrschten Leistungsprozessen (Produktion und Dienstleistungen)
• Ergebnisse zur Messung der Konformität von Produkten und Dienstleistungen sowie der Qualität der Prozesse anhand definierter Parameter liegen vor und sind dokumentiert
• Umgang mit fehlerhaften Produkten, nichtkonformen Dienstleistungen und Prozessen sowie die durchgeführten Korrekturmaßnahmen sind dokumentiert
• Anwendungsbereiche und Ausschlüsse (nichtzutreffende Elemente der ISO 9001) sind erläutert
• Ergebnisse eines internen Audits als Voraussetzung für ein Zertifizierungsaudit liegen vor
• Management-Review wurde durchgeführt

Audit-Team und Auditor festlegen

Mit der Entscheidung, in den Audit-Prozess einzusteigen, sollte die Geschäftsleitung den Qualitätsmanagementbeauftragten (QM-Beauftragter) zum Teamleiter eines Audit-Teams ernennen. Dieser stellt dann sein Team zusammen, wählt geeignete Mitarbeiterinnen und Mitarbeiter aus und erstellt einen Zeitplan.

Frühzeitig sollte sich das Unternehmen an eine Zertifizierungsgesellschaft und einen Auditor wenden, um mit ihnen die Vorgehensweise und Termine abzustimmen. Dazu können auch mehrere Zertifizierungsgesellschaften zur Abgabe eines Angebots aufgefordert werden.

Ausgangssituation ermitteln

Das Audit-Team prüft den Stand des Qualitätsmanagementsystems und der Qualität im Unternehmen und in den Bereichen, die auditiert werden sollen. Dabei wird vor allem die Aktualität, die Vollständigkeit und die Anwendung der Dokumentationen überprüft. Wo Prozesse nicht richtig dokumentiert sind und wo noch grundsätzliche oder systematische Mängel bestehen, müssen diese zunächst behoben werden.

Zeitplan und Aufgabenplan erstellen

Wenn das Qualitätsmanagementsystem sicher aufgebaut ist, bereitet der QM-Beauftragte einen Audit-Plan vor und stellt ihn den Beteiligten zur Verfügung. Wurde zuvor bereits ein internes oder ein erstes Zertifizierungsaudit durchgeführt, achtet er besonders auf dort formulierte Festlegungen:

• ob es Anforderungen gab, die zwingend zu erfüllen sind oder
• ob es Empfehlungen gab, für die es Gründe ihrer Nichtumsetzung gibt.

Vorgehensweise beim Audit

Für die Zertifizierung des Qualitätsmanagements nach DIN EN ISO 9001 gibt es folgende Elemente und Prozessschritte:

• Voraudit zur Prüfung der Audit-Fähigkeit (vor dem ersten Hauptaudit)
• Haupt- oder Erstaudit als Zertifizierungsaudit
• gegebenenfalls Nachaudit: falls Defizite beim Hauptaudit beseitigt werden müssen
• Überwachungsaudit
• Re-Zertifizierungsaudit

Voraudit

Im Zuge der QM-orientierten Nachweise sind zum Voraudit mindestens folgende Aufzeichnungen bereitzuhalten:

• Interne Audit-Berichte der letzten 12 Monate
• Protokoll des letzten Management-Reviews
• Kundenzufriedenheitsanalysen, Dokumentation zu Kundenbeschwerden und Reklamationen
• Leistungsparameter oder Kennzahlen zur Prozessmessung, Produkt- und Dienstleistungskonformität

Außerdem wird ein Zeitplan für die folgenden Audits der nächsten drei Jahre sowie deren Umfang festgelegt.

Hauptaudit

Jedes Hauptaudit oder Zertifizierungsaudit wird nach einem festgelegten Ablauf durchgeführt. Die Kernbestandteile sind

• Eröffnungsgespräch
• Audit-Durchführung
• Audit-Bewertung
• Erstellen von Auditaufzeichnungen
• Abschlussgespräch

Hauptziel der Audit-Durchführung ist es, die Übereinstimmung der betrieblichen Abläufe mit den Anforderungen der ISO 9001, des Kunden, des Gesetzgebers oder seiner Behörden sowie die Anforderungen etwaiger interessierter Parteien zu prüfen.

Hierzu werden mittels Stichprobenprüfung Informationen gesammelt und bewertet. Dies erfolgt durch Interviews und Beobachtungen sowie durch Sichtung von Aufzeichnungen und Dokumenten.

Der Auditor kann zum Beispiel einen zufälligen Kundenauftrag auswählen und dessen Durchlauf durch das Unternehmen verfolgen und begutachten. Er prüft,

• ob Verantwortlichkeiten und Befugnisse festgelegt und bekannt sind,
• welche dokumentierten Informationen genutzt werden,
• wo Schnittstellen relevant sind,
• wo es zu Fehlern oder Mängeln kommen kann und
• ob die realen Abläufe den Prozessbeschreibungen entsprechen.

Oft wird dies mithilfe des Turtle-Diagramms dargestellt, wie es in einem weiteren Abschnitt dieses Handbuch-Kapitels beschrieben ist.

Die Prüfung der Dokumente bezieht sich vor allem auf:

• QM-Handbuch (falls vorhanden)
• Prozesslandkarten und Prozessbeschreibungen
• Qualitätskennzahlen zur Prozessmessung und deren zeitliche Entwicklung für 6 bis 12 Monate; die Kennzahlen zeigen: Produkt- und Dienstleistungskonformität, Liefertermintreue, Kundenbeschwerden, Reklamationen
• Kundenzufriedenheitsanalysen (Befragungen, Auswertungen von Kundenbesuchen)
• Beschaffungsprozess
• Prozessnachweise wie Lieferantenbewertungen, Einarbeitungspläne
• Messmittellisten
• Projektpläne
• Liste von eingesetzten QM-Tools wie 8D-Analyse, Qualitätssicherungsvereinbarungen
• Maßnahmen zur ständigen Verbesserung des Qualitätsmanagements
• Aufzeichnungen zum letzten Management-Review
• Interne Auditberichte

Im Abschlussgespräch stellt der Auditor die Ergebnisse vor und bespricht diese mit dem Beauftragten des Unternehmens für das Qualitätsmanagement, mit den betreffenden Bereichsleitern und dem Verantwortlichen in der Geschäftsleitung. Dabei zeigt er Abweichungen auf, benennt aber auch seine positiven Befunde. Schließlich erläutert er, was bis wann behoben oder geändert werden soll.

Dokumentation des Audits

Wenn Anforderungen der Qualitätsnorm nicht korrekt umgesetzt oder eingehalten werden, muss der Auditor eine Beanstandung (Abweichung oder Finding) aussprechen und im Abweichungsbericht (Non-Conformity-Report) erläutern. Damit werden sogenannte Nichtkonformitäten benannt.

Da diese nicht alle gleichwertig sind für die Leistungen des Qualitätsmanagements, werden drei Klassen unterschieden:

• wesentliche Nichtkonformität
• untergeordnete Nichtkonformität
• Empfehlung zur Verbesserung

Diese werden im Abschluss- oder Abweichungsbericht des Auditors beschrieben und begründet.

Welche Folgen ergeben sich aus einem Audit?

Kritisch sind vor allem die wesentlichen Nichtkonformitäten. Sie zeigen ein Fehlen oder Versagen wichtiger Elemente des Qualitätsmanagements, Fehler und Mängel in Prozessen oder negative Auswirkungen für Kunden an. Diese Nichtkonformitäten müssen so schnell wie möglich beseitigt werden. Dazu werden sogenannte Korrekturmaßnahmen geplant und umgesetzt.

Auch die untergeordneten Nichtkonformitäten müssen beseitigt werden. Sie haben aber keine unmittelbaren negativen Folgen für die Leistungen, die möglichen Produktmängel oder für die Kunden. Eine Empfehlung zur Verbesserung muss nicht zwingend umgesetzt werden. Jedoch sollte für das nächste Audit begründet werden, warum die Empfehlung (noch) nicht umgesetzt ist. Noch besser ist, der Empfehlung zu folgen.

Sind die Nichtkonformitäten behoben, meldet das Unternehmen dies an den Auditor und beantragt das Schließen der Audit-Beanstandung. Erst dann kann das Zertifikat erstellt werden.

Der Abweichungsbericht ist eine Chance für das Unternehmen, sein Qualitätsmanagement sowie die Prozesse und Produkte zu verbessern. Denn die Stellhebel sind damit benannt. Wenn die Ursachen gefunden und beseitigt werden, wird sich die Qualitätsleistung des Unternehmens verbessern. Das kommt den Kunden zugute und damit letztlich wieder dem Unternehmen.

Überwachungsaudit und Re-Zertifizierung

Ist das Zertifizierungsaudit erfolgreich abgeschlossen und hat das Unternehmen das ISO 9001-Zertifikat erhalten, dann ist dieses drei Jahre gültig. Damit es danach verlängert werden kann, müssen regelmäßig weitere Audits durch einen externen Prüfer durchgeführt werden. Das sind:

• jährliche Überwachungsaudits: Hier werden einzelne Bereiche des Unternehmens im Hinblick auf Anforderungen und Konformitäten geprüft und bewertet; das betrifft insbesondere kritische Bereiche sowie die Aspekte, die im Auditbericht als Empfehlungen zu Verbesserungen benannt sind.
• Re-Zertifizierungsaudit nach drei Jahren: Nach spätestens drei Jahren erfolgt ein Re-Zertifizierungsaudit, das in Ablauf und Inhalt dem Audit für die Erstzertifizierung entspricht.