Internes Audit planen, durchführen und wirksam nachbereiten

Ein internes Audit prüft nicht, ob Menschen „gut gearbeitet“ haben, sondern ob ein definierter Prozess und seine Ergebnisse die festgelegten Kriterien erfüllen. Richtig angelegt zeigt es, wo Regeln funktionieren, wo Nachweise fehlen und wo das System angepasst werden muss. Damit ist es ein Instrument für Führung und Lernen – nicht für überraschende Schuldzuweisungen.

Kurzantwort: Legen Sie Auditauftrag, Kriterien und Stichprobe vorab fest. Prüfen Sie Nachweise entlang realer Abläufe, formulieren Sie Feststellungen sachlich und verknüpfen Sie jede relevante Abweichung mit Ursachenklärung, Maßnahme, Verantwortung, Termin und Wirksamkeitsprüfung.

Auftrag, Zweck und Grenzen festlegen

Ein Audit beginnt mit einer konkreten Frage. Soll die Umsetzung eines internen Prozesses, eine vertragliche Anforderung oder die Wirksamkeit einer neuen Regelung geprüft werden? Ein zu breiter Auftrag führt zu oberflächlichen Checklisten. Begrenzen Sie Zeitraum, Standorte, Prozesse, Organisationseinheiten und relevante Schnittstellen.

Benennen Sie auch, was das Audit nicht leistet. Es ist keine vollständige Garantie, keine Zertifizierung und keine Rechtsberatung. Wenn verbindliche Normen, gesetzliche Pflichten oder branchenspezifische Vorgaben betroffen sind, müssen qualifizierte Fachpersonen die aktuellen Anforderungen für den konkreten Kontext prüfen. Der Überblick zum externen Audit hilft bei der Abgrenzung unterschiedlicher Auftraggeber.

Kriterien und Nachweise vorbereiten

Auditkriterien sind die Anforderungen, gegen die geprüft wird. Das können freigegebene Prozesse, Verträge, interne Vorgaben oder anwendbare externe Anforderungen sein. Arbeiten Sie nur mit identifizierten, aktuellen Fassungen. Eine ungeprüfte Internet-Checkliste ist keine belastbare Grundlage für eine Konformitätsaussage.

Erstellen Sie eine einfache Kriterienmatrix mit Quelle, Abschnitt, erwarteter Umsetzung und möglichem Nachweis. Damit bleibt erkennbar, worauf sich eine Frage oder Feststellung stützt. Die Matrix ist ein Arbeitsmittel und keine automatische Bewertung: Ob ein Nachweis ausreichend ist, muss im konkreten Prozess fachlich und im Zusammenhang mit weiteren Beobachtungen beurteilt werden.

Leiten Sie aus den Kriterien nachvollziehbare Prüffragen ab. Fragen Sie nicht nur „Wird dokumentiert?“, sondern: Welche Information muss wann durch wen entstehen, wo wird sie freigegeben und wie zeigt sich ihre Nutzung? Die Verfahrensanweisung kann als Beispiel für dokumentierte Prozessvorgaben dienen. Fordern Sie Unterlagen in angemessenem Umfang vorab an, ohne den Bereich mit einer vollständigen Vorprüfung zu belasten.

Auditprogramm risikoorientiert planen

Planen Sie Themen nicht ausschließlich nach Kalender. Berücksichtigen Sie Prozessrisiko, Veränderungen, Reklamationen, frühere Feststellungen, Personalwechsel und Bedeutung für Kunden oder Betrieb. Bereiche mit stabilen Ergebnissen können anders geprüft werden als neu eingeführte oder wiederholt auffällige Abläufe.

Unabhängigkeit bedeutet, dass Auditierende offen und ohne unzulässigen Interessenkonflikt bewerten können. Kleine Organisationen müssen dafür pragmatische Lösungen finden, etwa bereichsübergreifende Audits oder externe Unterstützung. Entscheidend ist, dass niemand lediglich die eigene Arbeit bestätigt und dass notwendige Fachkompetenz vorhanden ist.

Stichproben bewusst auswählen

Ein internes Audit untersucht typischerweise eine begrenzte Stichprobe. Dokumentieren Sie Auswahl und Grenzen offen. Kombinieren Sie Fälle aus verschiedenen Zeiträumen, Risikoklassen oder Bearbeitungswegen. Eine ausschließlich „schöne“ Beispielakte liefert wenig Erkenntnis; eine nur auf Fehlerfälle zugeschnittene Auswahl verzerrt ebenfalls.

Folgen Sie einem Vorgang Ende zu Ende. Prüfen Sie beispielsweise Auftrag, Entscheidung, Ausführung, Freigabe und spätere Nutzung der Dokumentation. So werden Übergabebrüche sichtbar, die in isolierten Abteilungsfragen verborgen bleiben. Die Prozessdokumentation bietet Anknüpfungspunkte für verständliche operative Vorgaben.

Interviews respektvoll und beweisorientiert führen

Erklären Sie Ziel, Ablauf und Umgang mit Informationen. Stellen Sie offene Fragen: „Zeigen Sie mir bitte, wie Sie einen dringenden Fall bearbeiten“ ist ergiebiger als „Halten Sie die Vorgabe ein?“. Lassen Sie sich reale Nachweise zeigen und gleichen Sie Aussagen mit Prozess und Ergebnis ab. Einzelne Versprecher sind keine Feststellung.

Auditierende sollten Widersprüche sachlich spiegeln und Gelegenheit zur Klärung geben. Vermeiden Sie Fangfragen und öffentliche Schuldzuweisungen. Wenn Interviews aufgezeichnet werden, informieren Sie jede Person vorher, holen Sie ausdrückliche Zustimmung ein und bieten Sie eine gleichwertige Alternative ohne Aufzeichnung. Datenschutz, Mitbestimmung und interne Regeln sind fachlich zu prüfen.

Kuno ist ein privatsphärenorientierter physischer KI-Sprachrekorder, made in Germany. Audio wird auf dem Gerät erfasst; Verarbeitung und Speicherung erfolgen gemäß Produktbeschreibung EU-gehostet. Ein monatlicher oder jährlicher AI-Plan ist erforderlich. Kuno transkribiert nicht offline oder vollständig auf dem Gerät und synchronisiert Inhalte nicht automatisch mit Auditmanagementsystemen.

Zustimmungsbasierte Auditgespräche strukturiert nachbereiten: Kuno ansehen.

Feststellungen präzise formulieren

Eine belastbare Feststellung verbindet Kriterium, objektiven Nachweis und erkannte Abweichung. Schreiben Sie konkret, welche Anforderung galt, welcher Fall geprüft wurde und was dabei beobachtet wurde. Generalisieren Sie eine Stichprobe nicht zur Aussage über alle Fälle. Unsichere Punkte bleiben offen, bis ausreichende Nachweise vorliegen.

Trennen Sie Abweichungen, Beobachtungen und Verbesserungsideen. Die Begriffe und Einstufungen müssen zum eigenen Auditsystem passen. Positive Feststellungen sind ebenfalls wertvoll, wenn sie anhand von Nachweisen zeigen, warum ein Ablauf verlässlich funktioniert. Ein Prüfprotokoll kann Struktur geben, ersetzt aber nicht die fachliche Bewertung.

Abschlussgespräch und Bericht gestalten

Im Abschlussgespräch sollten keine überraschenden Hauptfeststellungen auftauchen. Stellen Sie Umfang, Stichprobe, Grenzen und Ergebnisse verständlich vor. Geben Sie dem geprüften Bereich Gelegenheit, Faktenfehler zu korrigieren oder zusätzliche Nachweise zu benennen. Die Verantwortung für die Auditbewertung bleibt dennoch bei der zuständigen Auditfunktion.

Der Bericht nennt Auftrag, Kriterien, Beteiligte, geprüfte Nachweise, Feststellungen und vereinbarte Folgeschritte. Er sollte so knapp wie möglich und so detailliert wie nötig sein. Sensible Informationen werden nur an berechtigte Rollen verteilt und nach dem festgelegten Aufbewahrungskonzept geschützt.

Trennen Sie Bericht und Arbeitsnotizen. Vorläufige Stichworte, persönliche Daten und nicht bestätigte Vermutungen gehören nicht automatisch in den freigegebenen Bericht. Legen Sie fest, welche Unterlagen aufbewahrt werden, wer Zugriff erhält und wann sie überprüft oder gelöscht werden. Bei besonderen Schutzbedarfen ist die zuständige Datenschutz-, Rechts- oder Fachfunktion einzubeziehen.

Ursachen, Maßnahmen und Wirksamkeit verfolgen

Eine schnelle Korrektur behebt den gefundenen Einzelfall; sie erklärt nicht automatisch, warum die Abweichung möglich war. Klären Sie die Ursache in angemessener Tiefe und wählen Sie Maßnahmen, die den Prozess verbessern. „Mitarbeitende erinnern“ reicht selten, wenn widersprüchliche Vorgaben, fehlende Ressourcen oder unklare Freigaben die eigentliche Ursache sind.

Jede Maßnahme braucht Verantwortung, Termin und erwartetes Ergebnis. Schließen Sie sie erst, wenn Umsetzung und Wirksamkeit nachvollziehbar geprüft wurden. Wiederkehrende Feststellungen sind ein Signal, dass Ursachenanalyse, Maßnahmenwahl oder Führungsnachverfolgung nicht greifen. Nutzen Sie diese Muster für das nächste Auditprogramm.

Aus Auditnotizen klare Maßnahmen und Verantwortungen gewinnen: Kuno mit AI-Plan entdecken.