ISO/IEC 27001 Auditorin & QM-Fachexpertin (ISO 9001)
December 12, 2025
5 Minuten
Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
Key Takeaways
Gute Auditdokumentation entscheidet darüber, ob ein Audit souverän oder stressig verläuft.
Revisionssicherheit entsteht durch klare Verknüpfung von Bericht, Checkliste, Nachweis und Maßnahme.
Präzise formulierte Auditfeststellungen sind wertvoller als umfangreiche, unklare Berichte.
Strukturierte und zentrale Dokumentation macht das QMS auditfest und alltagstauglich.
Stellen Sie sich folgendes Szenario vor: Der externe Auditor sitzt Ihnen gegenüber. Die Stimmung ist freundlich, aber konzentriert. Er stellt eine scheinbar simple Frage: „Können Sie mir zeigen, wie Sie die Korrekturmaßnahme aus dem internen Audit vom letzten Februar verifiziert haben?“
Sie wissen, dass die Maßnahme umgesetzt wurde. Sie wissen, dass alles funktioniert. Aber finden Sie den dokumentierten Beweis dafür in den nächsten zwei Minuten? Oder beginnt jetzt das nervöse Klicken durch Ordnerstrukturen, während die Stille im Raum unangenehm laut wird?
Genau an diesem Punkt entscheidet sich oft, ob ein Audit eine entspannte Bestätigung Ihrer guten Arbeit ist oder zu einem stressigen Verhör wird. Auditdokumentation ist weit mehr als bürokratische Pflicht. Sie ist das Gedächtnis Ihres Qualitätsmanagementsystems (QMS) und Ihre Versicherungspolice für Revisionssicherheit.
In diesem Leitfaden tauchen wir tief in die Praxis ein: Wie erstellen Sie Berichte, die Fragen beantworten, bevor sie gestellt werden? Wie sehen Checklisten aus, die echten Mehrwert bieten? Und wie schaffen Sie eine lückenlose Rückverfolgbarkeit, die jedem Auditor ein Lächeln ins Gesicht zaubert?
Die Basis der Auditdokumentation nach ISO 9001:2015 verstehen
Seit der Revision der ISO 9001:2015 sprechen wir nicht mehr starr von „Dokumenten“ und „Aufzeichnungen“, sondern von „dokumentierter Information“. Dieser Begriff mag abstrakt klingen, gibt Ihnen aber eigentlich mehr Freiheit. Es geht nicht darum, dass ein Stück Papier existiert, sondern dass die Information verfügbar, lenkbar und aktuell ist.
Dennoch gibt es vier Säulen, die das Fundament jeder soliden Auditdokumentation bilden. Wenn Sie verstehen, wie dokumentierte Informationen nach ISO 9001 ineinandergreifen, verwandeln Sie Ihr QMS von einem statischen Archiv in ein dynamisches Werkzeug.
Die vier Säulen der Dokumentation
Der Auditbericht: Das Management-Summary. Er bewertet die Konformität und Effektivität des Systems.
Nichtkonformitätsberichte (NC-Berichte): Die detaillierte Erfassung von Fehlern, deren Ursachen und Maßnahmen.
Auditnachweise: Die "Beweise" – von Screenshots über Fotos bis hin zu Messprotokollen.
Checklisten: Der rote Faden, der sicherstellt, dass keine Anforderung übersehen wird.
Viele Unternehmen machen den Fehler, diese Elemente isoliert zu betrachten. Doch die Magie entsteht in der Verknüpfung: Ein Befund im Bericht verweist auf eine Checklisten-Frage, die durch einen Nachweis belegt ist und bei Abweichung einen NC-Bericht auslöst.
Best Practices für lückenlose und revisionssichere Dokumente
Revisionssicherheit bedeutet, dass ein Dritter (der Auditor) zu jeder Zeit nachvollziehen kann, was wann, von wem und warum getan wurde. Schauen wir uns an, wie Sie das für die einzelnen Dokumententypen erreichen.
Ein guter interner Auditbericht muss kein Roman sein. Er muss präzise sein. Auditoren suchen nach Fakten, nicht nach Meinungen.
Struktur: Beginnen Sie immer mit Auditscope, Kriterien (welche Normkapitel?), Datum und Teilnehmern.
Feststellungen formulieren: Nutzen Sie die "Beobachtung + Kriterium = Schlussfolgerung" Formel.
Schlecht: "Die Mitarbeiter wissen nicht, wo die Richtlinie liegt."
Gut: "Im Interview mit Abteilung X konnte der aktuelle Prozess für den Wareneingang nicht vorgezeigt werden (Beobachtung). Dies entspricht nicht den Vorgaben aus Kap. 7.5 der ISO 9001 (Kriterium). Es besteht das Risiko veralteter Arbeitsweisen (Schlussfolgerung)."
Verlinkung: Ein moderner Bericht verweist direkt auf die gesammelten Nachweise (z.B. via Hyperlink im DMS).
2. Effektive Audit-Checklisten entwickeln
Die Checkliste ist oft das vernachlässigte Stiefkind, das nur schnell "abgehakt" wird. Dabei ist sie Ihr wichtigstes Steuerungsinstrument.
Vermeiden Sie reine Ja/Nein-Fragen. Diese verleiten zum bloßen Bestätigen. Setzen Sie stattdessen auf W-Fragen:
Statt: "Gibt es Qualitätsziele?"
Besser: "Wie und in welchen Intervallen werden die Qualitätsziele gemessen und ausgewertet?"
Eine gute Checkliste bietet zudem Platz für Notizen während des Audits. Schreiben Sie auf, welches Dokument Sie gesehen haben (z.B. "Eingesehen: Wartungsplan Nr. 2023-04 vom 12.10."). Das schafft enorme Glaubwürdigkeit.
3. Auditnachweise sammeln und sichern
Hier scheitern viele Unternehmen in der Praxis. Die Aussage "Haben wir gemacht" reicht im Audit nicht. Sie müssen es belegen.
Digitale Beweisführung: In Zeiten von Remote-Work sind digitale Screenshots, Logfiles oder Fotos von physischen Zuständen Gold wert.
Kontext: Ein Screenshot ohne Dateiname und Datum ist wertlos. Speichern Sie Nachweise so, dass der Bezug zum Auditpunkt klar ist (z.B. Audit2023_Frage4_Wartungsprotokoll.pdf).
Tipp zur Automatisierung: Moderne Compliance-Tools können die Nachweissammlung automatisieren, indem sie beispielsweise technische Einstellungen direkt aus Ihren Systemen auslesen und revisionssicher abspeichern. Das spart nicht nur Zeit, sondern eliminiert den menschlichen Fehlerfaktor.
Ein NC-Bericht ist keine Anklageschrift, sondern ein Verbesserungsvorschlag. Damit er wirksam ist, muss er die Wurzel des Problems treffen.
Ursachenanalyse: Nutzen Sie Methoden wie "5-Why" oder das Ishikawa-Diagramm direkt im Bericht, um nicht nur das Symptom zu behandeln.
SMARTe Maßnahmen: Legen Sie fest, wer bis wannwas tut.
Wirksamkeitsprüfung: Lassen Sie das Ticket erst schließen, wenn verifiziert wurde, dass der Fehler nicht erneut aufgetreten ist.
Fortgeschrittene Strategien für Auditdokumentation
Wer die Grundlagen beherrscht, kann einen Schritt weitergehen. Das Ziel ist ein System, das "lebendig" ist und nicht nur einmal im Jahr kurz vor dem Audit gepflegt wird.
Die Rückverfolgbarkeits-Matrix
Stellen Sie sich vor, Sie könnten von jedem beliebigen Punkt Ihrer Dokumentation den gesamten Kontext sehen. Das ist das Prinzip der Rückverfolgbarkeit (Traceability).
In einem manuellen System (Word/Excel) ist dies mühsam zu pflegen. Sie benötigen eine Matrix, die zeigt:
Hier zeigt sich die Stärke von risikobasiertem Denken: Wenn Sie dokumentieren, dass Sie ein hohes Risiko in der Lieferkette identifiziert haben, muss sich dies in Ihrer Audit-Checkliste (intensivere Fragen) und den gesammelten Nachweisen widerspiegeln.
Digitale Dokumentenlenkung
Ein häufiger Stolperstein ist die Versionskontrolle. "Ist das die aktuelle Checkliste oder die vom letzten Jahr?" Um echte Revisionssicherheit zu gewährleisten, sollten Sie auf Systeme setzen, die Änderungen automatisch protokollieren. Eine professionelle Dokumentenlenkung stellt sicher, dass veraltete Versionen archiviert werden und nur die gültigen Dokumente im Umlauf sind. Dies ist besonders kritisch, wenn externe Audits anstehen – denn Auditoren prüfen stichprobenartig genau diese Versionshistorien.
Ihre Roadmap zur exzellenten Auditdokumentation
Wie kommen Sie von Ihrem jetzigen Stand zu einer "Best Practice"-Dokumentation? Gehen Sie schrittweise vor:
Status Quo Check: Nehmen Sie Ihren letzten Auditbericht zur Hand. Können Sie jeden Punkt innerhalb von 2 Minuten einem konkreten Nachweis zuordnen? Wenn nein, haben Sie eine Lücke in der Rückverfolgbarkeit.
Vorlagen bereinigen: Überarbeiten Sie Ihre Checklisten. Entfernen Sie Ja/Nein-Fragen und fügen Sie Spalten für "Eingesehene Nachweise" hinzu.
Zentralisierung: Schaffen Sie einen "Single Point of Truth". Vermeiden Sie, Auditdokumente auf lokalen Laufwerken oder in E-Mail-Postfächern zu lagern.
Kulturwandel: Schulen Sie Ihre internen Auditoren darauf, dass Dokumentation kein Selbstzweck ist, sondern der Beweis für exzellente Arbeit.
Fazit: Dokumentation als Wettbewerbsvorteil
Exzellente Auditdokumentation ist der Unterschied zwischen "Wir hoffen, dass wir bestehen" und "Wir wissen, dass wir konform sind". Sie verwandelt Unsicherheit in Wissen und Chaos in Struktur.
Wenn Sie Ihre Dokumentationsprozesse sauber aufsetzen, schaffen Sie nicht nur Revisionssicherheit für den Auditor, sondern echte Transparenz für Ihr Unternehmen. Sie erkennen Schwachstellen schneller, lernen aus Fehlern effizienter und können sich wieder auf das konzentrieren, was wirklich zählt: Ihr Geschäft voranzutreiben.
Möchten Sie tiefer in die Welt der ISO-Normen eintauchen? Entdecken Sie, wie moderne Ansätze die Komplexität reduzieren können.
Häufig gestellte Fragen (FAQ)
Wie lange müssen Auditberichte aufbewahrt werden?
Die ISO 9001 gibt keine explizite Frist vor, fordert aber, dass dokumentierte Information aufbewahrt wird, um das Vertrauen in die Prozesse zu stützen. In der Praxis orientieren sich Unternehmen oft an gesetzlichen Aufbewahrungsfristen oder typischen Zertifizierungszyklen (3 Jahre), wobei viele Experten empfehlen, Berichte mindestens über zwei volle Zertifizierungszyklen (6 Jahre) aufzubewahren, um Trends erkennen zu können.
Die Norm fordert keine physische Unterschrift. Entscheidend ist die Authentizität und die Freigabe. In digitalen Systemen erfolgt dies oft über einen dokumentierten Workflow (Audit Log), der zeigt, wer den Bericht wann finalisiert und freigegeben hat. Das ist oft sicherer und nachvollziehbarer als eine Unterschrift auf Papier.
Was ist der Unterschied zwischen Verfahrensanweisungen und Auditdokumentation?
Verfahrensanweisungen beschreiben, wie ein Prozess ablaufen soll (Vorgabedokumente). Die Auditdokumentation belegt, wie der Prozess tatsächlich ablief und geprüft wurde (Nachweisdokumente). Auditdokumentation ist also der Beweis für die Einhaltung der Verfahrensanweisungen.
Dürfen Auditnachweise Fotos von Mitarbeitern oder vertraulichen Daten enthalten?
Hier greift der Datenschutz (DSGVO). Personenbezogene Daten sollten in Auditnachweisen geschwärzt oder vermieden werden, sofern sie nicht zwingend für den Nachweis erforderlich sind. Bei vertraulichen Firmendaten (z.B. Rezepturen) genügt oft die Referenzierung ("Eingesehen im geschützten System XY") statt einer Kopie im Auditbericht.
Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
Über SECJUR
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Compliance, completed
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die Organisation Noyb („My Privacy is None of Your Business“) unter dem Vorsitz von Max Schrems startete Anfang 2021 eine Abmahnwelle gegenüber Unternehmen wegen datenschutzwidriger Cookie-Banner. Doch wie soll ein rechtskonformes Cookie-Banner eigentlich aussehen? Lesen Sie mehr Tipps zur Gestaltung Ihres Banners.
Viele Unternehmen kennen die NIS2-Meldepflicht, doch die technische Umsetzung bleibt oft unklar. Dieser Leitfaden zeigt praxisnah, wie Sie Sicherheitsvorfälle strukturiert, sicher und konform übermitteln – von Datenformaten wie JSON und STIX/TAXII bis zu API-Schnittstellen und verschlüsselten Übertragungswegen. Erfahren Sie, wie Sie Ihre NIS2-Compliance technisch absichern und Meldeprozesse effizient, automatisiert und revisionssicher gestalten.
Sichern Sie nicht nur die Informationssicherheit Ihres Unternehmens, sondern stärken Sie auch das Vertrauen von Kunden und Partnern durch eine ISMS Zertifizierung. Erfahren Sie, was ein ISMS ist und wie es Risiken minimiert, die durch interne und externe Faktoren entstehen können. Die Implementierung eines ISMS ist nicht nur entscheidend für den Schutz sensibler Daten, sondern auch für die Erfüllung gesetzlicher Anforderungen und die Sicherung von Geschäftsmöglichkeiten, insbesondere in Branchen wie Gesundheitswesen, Finanzwesen und Industrie.
.svg)
.svg)
.svg)
.svg){kind=small}