ISO 9001 Audit: die zehn häufigsten Abweichungen und wie Sie sie vermeiden

Wenn der leitende Auditor zum Abschlussgespräch Platz nimmt, ließen sich die meisten Feststellungen bereits vor dem Eröffnungsgespräch formulieren. Nach genügend Stufe-2- und Rezertifizierungsaudits taucht immer wieder dieselbe kleine Gruppe von Abweichungen auf, über Branchen und Unternehmensgrößen hinweg. Exotisch sind sie selten. Sie ballen sich in wenigen Abschnitten der ISO 9001:2015 und teilen meist eine gemeinsame Ursache: ein System, das geschrieben wurde, um korrekt auszusehen, statt zu funktionieren. Sobald Sie wissen, wohin Auditoren tatsächlich schauen, wird aus der Vorbereitung keine Feuerwehrübung mehr, sondern eine ruhige Durchsicht von Nachweisen, die Sie ohnehin haben sollten.

Geringfügig, schwerwiegend und was der Auditor wirklich prüft

Ein Auditor benotet nicht Ihr Handbuch. Er prüft, ob das System hält, was es verspricht, indem er einen Faden aufnimmt und ihm folgt: eine Kundenbeschwerde vorwärts bis zur Korrekturmaßnahme oder einen ausgelieferten Auftrag rückwärts über Prüfung, Kalibrierung und Mitarbeiterkompetenz. Was er notiert, hängt davon ab, was dieser Faden offenlegt.

Eine geringfügige Abweichung ist ein einzelner Verstoß gegen eine Anforderung der ISO 9001, etwas, das durchgerutscht ist, nicht etwas, das fehlt. Eine größere Abweichung ist anderer Art: eine ganz fehlende Anforderung, ein zusammengebrochener Prozess oder der Nachweis, dass das Managementsystem ein konformes Produkt oder eine konforme Dienstleistung nicht zuverlässig liefern kann. Eine größere Abweichung hält die Zertifizierungsentscheidung in der Regel zurück, bis Ihre Korrekturmaßnahme akzeptiert ist, während eine geringfügige Abweichung mit einer definierten Frist zur Reaktion kommt. Verbesserungspotenziale sind weder das eine noch das andere, aber oft die höflichere Fassung der Feststellung des nächsten Jahres. Ziel der Vorbereitung ist keine saubere Vorstellung über drei Tage. Es ist ein System, das seine Form behält, wenn jemand kräftig am Faden zieht.

Wo sich die Feststellungen ballen

Die folgenden zehn Punkte machen den Großteil dessen aus, was in einem typischen Überwachungs- oder Rezertifizierungsaudit notiert wird. Sie verteilen sich auf vier Gruppen: den Motor des Managements, der die Verbesserung antreiben soll, die Richtung aus Zielen und Risiko, die tägliche Realität in der Fertigung und schließlich die Aufzeichnungen und das Produkt am Ende der Linie. Die Tabelle ordnet jeden Punkt seinem Abschnitt und der Maßnahme zu, die ihn verhindert.

Der Motor des Managements: hier entstehen die meisten größeren Abweichungen

1. Korrekturmaßnahmen, die das Symptom behandeln, nicht die Ursache (Abschnitt 10.2)

Diese Feststellung steckt hinter der Hälfte der übrigen. Das Register der Korrekturmaßnahmen füllt sich mit Einträgen wie Mitarbeiter nachgeschult oder Team erinnert, ohne Analyse, warum das Problem auftrat, und ohne Prüfung, ob die Lösung gehalten hat. Die ISO 9001 verlangt, dass Sie auf die Abweichung reagieren, dann die Ursache bestimmen, dann so handeln, dass sie sich nicht wiederholt, und schließlich bestätigen, dass die Maßnahme gewirkt hat. Verhindern Sie die Feststellung, indem Sie die Sofortkorrektur von der Korrekturmaßnahme trennen, eine echte Grundursache festhalten und nach einem sinnvollen Abstand eine Wirksamkeitsbewertung ergänzen. Eine leere Wirksamkeitsspalte macht aus einer geringfügigen Abweichung eine wiederkehrende Feststellung.

2. Interne Audits als Formsache vor dem eigentlichen Audit (Abschnitt 9.2)

Ein einziges internes Audit, zwei Wochen vor dem Besuch der Zertifizierungsstelle durchgeführt von jemandem, der die eigene Abteilung prüft, überzeugt niemanden. Erwartet wird ein geplantes Programm, das über den Zyklus jeden Prozess und jeden Abschnitt abdeckt, nach Bedeutung und früheren Ergebnissen gewichtet und von Personen durchgeführt, die von der geprüften Arbeit unabhängig sind. Verhindern Sie die Feststellung, indem Sie die Audits über das Jahr verteilen, die Auditoren rotieren lassen, damit die Unparteilichkeit sichtbar wird, und interne Feststellungen so ernst nehmen wie externe. Ein internes Audit, das nie etwas findet, ist selbst ein Warnsignal.

3. Managementbewertungen ohne die geforderten Eingaben (Abschnitt 9.3)

Protokolle, die sich wie das System läuft gut, keine Maßnahmen erforderlich lesen, überstehen die Prüfung selten. Die Bewertung hat festgelegte Eingaben: den Status von Maßnahmen aus früheren Bewertungen, Änderungen bei externen und internen Themen, Leistungstrends, Auditergebnisse, Lieferantenleistung, die Angemessenheit der Ressourcen und die Wirksamkeit der Maßnahmen zum Umgang mit Risiken. Verhindern Sie die Feststellung, indem Sie die Tagesordnung direkt aus diesen Eingaben aufbauen und die Ergebnisse als Entscheidungen festhalten: Was ändert sich, wer verantwortet es, welche Ressource ist zugesagt. Eine Bewertung ohne Entscheidungen hat im Grunde nicht stattgefunden.

Richtung: Ziele und Risiko, die nur auf dem Papier leben

4. Qualitätsziele, die sich nicht messen lassen oder nie ausgerollt wurden (Abschnitt 6.2)

Die Kundenzufriedenheit verbessern ist eine Absicht, kein Ziel. Die Norm verlangt Ziele, die messbar sind, überwacht werden und durch einen Plan gestützt sind: was getan wird, mit welchen Ressourcen, durch wen, bis wann und wie das Ergebnis bewertet wird. Die häufige Lücke sind Ziele, die oben festgelegt werden und die Funktionen, die sie beeinflussen, nie erreichen. Verhindern Sie das, indem Sie jedem Ziel eine Kennzahl und einen Verantwortlichen geben, sie auf die betreffenden Abteilungen herunterbrechen und den Fortschritt in der Managementbewertung verfolgen, statt sie eine Woche vor dem Audit wiederzuentdecken.

5. Ein Risikoregister ohne Bezug zum Kontext (Abschnitt 4.1, 4.2, 6.1)

Viele Organisationen erstellen die Kontextanalyse und die Liste der interessierten Parteien einmal, bei der Einführung, und frieren sie dann ein. Das Register der Risiken und Chancen steht unberührt daneben, ohne Bezug zum Kontext und zu den tatsächlichen Prozessrisiken und ohne Nachweis, dass die geplanten Maßnahmen ergriffen oder bewertet wurden. Verhindern Sie die Feststellung, indem Sie den Kontext überprüfen, wenn sich real etwas ändert, ein neuer Markt, eine neue Vorschrift, ein großer Kunde, und jedes wesentliche Risiko bis zu einer Maßnahme und einem Ergebnis verfolgen. Risikobasiertes Denken wird daran gemessen, was Sie gegen das Risiko getan haben, nicht am Vorhandensein einer Tabelle.

Die Fertigung: Menschen, Ausrüstung und die Lieferantenbasis

6. Messmittel ohne Kalibrierung oder Rückführbarkeit (Abschnitt 7.1.5)

In der Fertigung greift sich der Auditor ein Messmittel und fragt nach dem Kalibrierstatus. Häufige Feststellungen sind abgelaufene Kalibrierung, fehlende Rückführbarkeit auf eine nationale oder internationale Norm, keine Kennzeichnung des Kalibrierzustands und, am schwerwiegendsten, keine Maßnahme, wenn ein Gerät außerhalb der Toleranz liegt. Die Norm erwartet in diesem Fall, dass Sie die Gültigkeit der früheren Messungen beurteilen. Verhindern Sie die Feststellung mit einem Kalibrierplan, einer klaren Statuskennzeichnung, aufbewahrten Zertifikaten, die die Rückführbarkeit belegen, und einer definierten Reaktion bei fehlerhaftem Gerät, einschließlich der Frage, wie betroffene Produkte überprüft werden.

7. Kompetenz definiert, Bewusstsein fehlt (Abschnitt 7.2, 7.3)

Kompetenzakten können vollständig wirken, während die Menschen an der Arbeit nicht sagen können, was die Qualitätspolitik für sie bedeutet oder was geschieht, wenn sie ein Verfahren übergehen. Abschnitt 7.2 verlangt Kompetenz auf Basis von Ausbildung, Schulung oder Erfahrung für Rollen, die die Leistung beeinflussen, und erwartet, dass die Wirksamkeit der Schulungen bewertet wird. Abschnitt 7.3 verlangt echtes Bewusstsein in der Fertigung. Verhindern Sie die Feststellung, indem Sie Kompetenz je Rolle definieren, sie belegen und das Bewusstsein durch kurze Unterweisungen am Arbeitsplatz schaffen, nicht durch eine Anwesenheitsliste, an die sich niemand erinnert.

8. Lieferanten, die einmal freigegeben und nie neu bewertet werden (Abschnitt 8.4)

Externe Anbieter prägen Ihr Ergebnis, deshalb schauen Auditoren genau hin, wie Sie sie steuern. Die üblichen Lücken sind eine Liste freigegebener Lieferanten ohne dahinterliegende Kriterien, kein Nachweis der Leistungsüberwachung, keine Neubewertung und ausgelagerte Prozesse, die behandelt werden, als lägen sie außerhalb des Systems. Verhindern Sie die Feststellung, indem Sie Kriterien für Auswahl und Bewertung festlegen, Lieferung und Qualität daran messen, in einem definierten Zyklus neu bewerten und jeden ausgelagerten Prozess, der die Konformität beeinflusst, so streng steuern, als liefe er im eigenen Haus.

Aufzeichnungen und Produkt: die am leichtesten behebbaren Fehler

9. Veraltete Dokumente im Einsatz am Arbeitsplatz (Abschnitt 7.5)

Eine überholte Arbeitsanweisung, die an eine Maschine geklebt ist, eine unkontrollierte Kopie in einer Schublade, ein Formular ohne Revisionsnummer: das sind die schnellsten Feststellungen, die ein Auditor schreiben kann, und die am leichtesten zu verhindernden. Die Norm erwartet, dass dokumentierte Information gelenkt, aktuell und dort verfügbar ist, wo die Arbeit geschieht. Verhindern Sie die Feststellung mit Versionslenkung, dem Entfernen überholter Kopien vom Einsatzort und einer kurzen Prüfung, ob das, was die Leute tatsächlich befolgen, dem entspricht, was das System vorsieht.

10. Fehlerhafte Ergebnisse und unterbrochene Rückverfolgbarkeit (Abschnitt 8.7, 8.5.2)

Wenn beim Produkt etwas schiefgeht, will der Auditor sehen, dass es erkannt, bei Bedarf getrennt und durch Korrektur, Sonderfreigabe oder Verschrottung behandelt wurde, mit dokumentierter Entscheidung. Wo Rückverfolgbarkeit gefordert ist, will er eine Charge in beide Richtungen verfolgen. Häufige Feststellungen sind fehlerhaftes Material, das ungekennzeichnet neben guter Ware liegt, Sonderfreigaben ohne Aufzeichnung und eine Rückverfolgbarkeit, die an einer Übergabe abreißt. Verhindern Sie das, indem Sie festlegen, wie fehlerhafte Ergebnisse erkannt und gelenkt werden, jede Entscheidung aufzeichnen und Ihre Rückverfolgbarkeit prüfen, bevor der Auditor es tut.

Das Muster der Korrekturmaßnahme, das eine Feststellung wirklich schließt

Fast jeder Punkt oben wird auf dieselbe Weise geschlossen, und diese Methode richtig zu beherrschen ist das Wertvollste, was Sie vorbereiten können. Beginnen Sie mit der Eindämmung, der Sofortkorrektur, die die Blutung stoppt. Finden Sie dann mit einer einfachen Disziplin wie den fünf Warum oder einem Ursache-Wirkungs-Diagramm die wahre Ursache und widerstehen Sie der Versuchung, beim menschlichen Fehler stehenzubleiben, der meist Symptom eines schwachen Prozesses ist. Handeln Sie an der Ursache, nicht am Symptom. Wenn genug Zeit vergangen ist, damit sich die Änderung in der Praxis bewähren konnte, bestätigen Sie, dass sie gewirkt hat, und halten Sie diese Bestätigung fest. Fragen Sie schließlich, ob dieselbe Ursache anderswo Probleme erzeugen könnte, und weiten Sie die Maßnahme bei Bedarf aus. Ein Register der Korrekturmaßnahmen, dessen Wirksamkeitsspalte tatsächlich ausgefüllt ist, ist das klarste Zeichen, das ein Auditor dafür bekommt, dass das System lebt.

Vorbereitung zur Gewohnheit machen

Die Organisationen, für die Audits unspektakulär sind, haben nicht die dicksten Handbücher. Es sind die, die internes Audit und Managementbewertung in einem echten Zyklus betreiben, die Schleife der Korrekturmaßnahmen ehrlich halten und das Zertifikat als Nebenprodukt eines funktionierenden Systems behandeln, nicht als Preis. Wenn Sie dieses System aufbauen oder neu aufbauen, ist die Serviceseite zur ISO 9001 Zertifizierung der richtige Ausgangspunkt. Wenn Sie bereits mehr als eine Norm betreiben, wiederholen sich dieselben zehn Feststellungen meist auch in Umwelt- und Arbeitsschutzaudits, weshalb viele Unternehmen zur Zertifizierung integrierter Managementsysteme übergehen und sie gemeinsam auditieren statt dreimal getrennt.