Überwachungsaudit nach ISO 9001

Nach der erfolgreichen Zertifizierung eines Qualitätsmanagementsystems nach ISO 9001 ist nicht alles vorbei. Die Zertifizierung ist drei Jahre lang gültig – aber nur unter einer Bedingung: Mindestens einmal pro Jahr muss ein Überwachungsaudit (auch Surveillance Audit genannt) stattfinden. Dieses Audit überprüft, ob das QMS noch funktioniert, ob die Dokumentation aktuell ist, und ob Ihre Organisation die Anforderungen der ISO 9001 weiterhin erfüllt. Unternehmen, die diese jährlichen Audits schleifen lassen, riskieren am Ende die Zertifizierung.

Dieser Artikel erklärt den Ablauf, die Häufigkeit, die Kosten und wie Sie sich systematisch vorbereiten.

Was ist ein Überwachungsaudit?

Definition

Ein Überwachungsaudit ist eine Kontrollprüfung des bestehenden Qualitätsmanagementsystems. Anders als das Erstaudit zur Zertifizierung oder das Rezertifizierungsaudit, das alle drei Jahre stattfindet, konzentriert sich das Überwachungsaudit auf gezielt ausgewählte Aspekte des Systems. Die Auditor:innen prüfen:

• Ob Prozesse immer noch wie dokumentiert ablaufen
• Ob Änderungen im Unternehmen (neue Produkte, Standorte, Gesetzesvorgaben) dokumentiert und berücksichtigt wurden
• Ob Abweichungen aus dem letzten Audit oder der letzten Überwachung behoben wurden
• Eine Stichprobe der üblichen Geschäftstätigkeiten – um sicherzustellen, dass das System im Alltag wirklich funktioniert

Unterschied zu anderen Audit-Typen

Um die Sache nicht zu verwirren: In einem Zertifizierungszyklus gibt es drei Audit-Typen, und ihre Unterschiede sind entscheidend:

Erstaudit: Vollprüfung aller Normkapitel. Dauer: 7–10 Tage. Ziel: Zertifizierung ausstellen.

Überwachungsaudit: Stichprobenprüfung. Dauer: 1–3 Tage. Ziel: Bestätigung, dass das System weiterhin funktioniert.

Rezertifizierungsaudit: Vollprüfung aller Normkapitel. Dauer: 3–5 Tage. Ziel: Zertifizierung erneuern nach 3 Jahren.

Häufigkeit und Zeitplan

Wann findet das Überwachungsaudit statt?

Das Überwachungsaudit findet regelmäßig statt – normalerweise ein Mal pro Jahr, manchmal auch zwei Mal pro Jahr, abhängig von der Vereinbarung mit Ihrer Zertifizierungsstelle. Typisch sind zwei Überwachungsaudits im Zertifizierungszyklus, z.B. nach 12 Monaten und nach 24 Monaten. Das dritte Jahr endet dann mit dem Rezertifizierungsaudit.

Viele Unternehmen planen das Überwachungsaudit zwischen dem Vorjahrsaudit und dem geplanten Rezertifizierungsaudit ein. Ein realistischer Zeitplan könnte so aussehen:

Jahr 1: Erstaudit im Frühjahr → Zertifizierung erhalten
Jahr 2: Erstes Überwachungsaudit im Frühjahr
Jahr 3: Zweites Überwachungsaudit im Frühjahr → Rezertifizierungsaudit im Herbst

Unternehmen sollten die Termine mit ihrer Zertifizierungsstelle festlegen und mehrere Monate im Voraus planen. Damit vermeiden sie Überraschungen und haben Zeit für Vorbereitung.

Was passiert, wenn man ein Überwachungsaudit verpasst?

Das ist eine ernsthafte Situation. Wenn ein fälliges Überwachungsaudit nicht innerhalb des vereinbarten Zeitraums stattfindet, kann die Zertifizierungsstelle die Zertifizierung aussetzen oder zurückziehen. Damit verlieren Sie alle damit verbundenen Marketingvorteil und Kundenvertrauens-Effekte. Auch für Ausschreibungen und Anfragen von Großkunden ist eine unterbrochene Zertifikation problematisch. Die Vorbeugung ist deshalb essentiell: Termine sollten rechtzeitig gebucht werden.

Ablauf des Überwachungsaudits

Phase 1: Einleitungsmeeting und Dokumentenprüfung

Das Audit beginnt mit einem Kick-off-Meeting mit der Geschäftsführung und der Qualitätsleitung. Hier werden folgende Punkte geklärt:

• Organisatorische Änderungen seit dem letzten Audit (neue Standorte, Produkte, Prozesse?)
• Änderungen in den regulatorischen Anforderungen
• Abweichungen aus dem letzten Audit – sind sie behoben?
• Auditziele für dieses Überwachungsaudit

Danach folgt eine kurze Dokumentenprüfung. Der:die Auditor:in schaut sich die aktualisierte Qualitätsmanagementsystem-Dokumentation an und prüft, ob Prozessbeschreibungen, Verfahrensanweisungen und Checklisten noch aktuell sind.

Phase 2: Stichprobenprüfung im Betrieb

Der Kern des Überwachungsaudits ist die Stichprobenprüfung vor Ort. Der:die Auditor:in besucht ausgewählte Prozesse und Funktionsbereiche – typisch sind 2–5 Prozesse pro Audit – und überprüft:

• Prozesskonformität: Funktioniert der Vertriebsprozess noch wie dokumentiert? Werden Kundenanforderungen erfasst? Werden Angebote erstellt?
• Dokumentation und Nachweise: Gibt es Aufzeichnungen (Prüfprotokolle, Inspektionsergebnisse, Schulungsunterlagen)? Sind diese nachvollziehbar?
• Personalqualifikation: Sind die Mitarbeiter:innen für ihre Aufgaben geschult? Gibt es Schulungsunterlagen?
• Abweichungsbehandlung: Wenn in diesem Prozess Abweichungen vorgekommen sind – sind diese dokumentiert und behoben worden?
• Kundenzufriedenheit: Erreichen Sie Ihre Qualitätsziele? Gibt es Beschwerden oder Reklamationen?

Der Fokus liegt auf dem Alltag, nicht auf Ausnahmefällen. Der:die Auditor:in will sehen, dass Ihre Menschen das QMS verstehen und nutzen – nicht, dass Sie für das Audit ein perfektes Schauspiel aufführen.

Phase 3: Abschlussgespräch und Abweichungen

Am Ende des Audittages fasst der:die Auditor:in zusammen, was geprüft wurde, welche Erkenntnisse gewonnen wurden, und welche Abweichungen oder Verbesserungsmöglichkeiten sich ergeben haben. Diese werden in ein Audit-Protokoll dokumentiert.

Typisch sind folgende Ergebnisse:

• Bestanden ohne Abweichungen: Das System funktioniert, alles ist konform. Dies ist selten, ist aber möglich.
• Bestanden mit geringfügigen Abweichungen (Minor Non-Conformities): Kleine Lücken, z.B. eine Schulung, die überfällig ist, oder ein Prozessprotokoll, das unvollständig dokumentiert ist. Diese müssen innerhalb von 30–60 Tagen behoben werden.
• Nichtbestanden mit kritischen Abweichungen (Major Non-Conformities): Systematische Missstände, z.B. ein Prozess, der überhaupt nicht dokumentiert ist, oder Kundenanforderungen, die systematisch nicht erfasst werden. Ein Nachaudit ist erforderlich, bevor die Zertifizierung bestätigt wird.

Dauer und Aufwand eines Überwachungsaudits

Ein typisches Überwachungsaudit dauert 1–3 Tage, je nach Unternehmensgröße und Systemkomplexität. Ein Dienstleistungsunternehmen mit 15 Mitarbeiter:innen braucht typischerweise 1–1,5 Tage. Ein Fertigungsbetrieb mit mehreren Standorten und komplexen Prozessen kann 2–3 Tage einplanen.

Die Kosten sind entsprechend niedriger als beim Erstaudit oder Rezertifizierungsaudit:

Die interne Vorbereitung ist genauso wichtig wie das Audit selbst. Unternehmen, die ihre Dokumentation zwischen den Audits kontinuierlich aktualisieren und Abweichungen nachverfolgen, brauchen weniger Vorbereitungszeit und haben weniger Probleme beim Audit.

Vorbereitung auf das Überwachungsaudit

Was sollte ich vor dem Audit machen?

Die beste Vorbereitung ist kontinuierlich, nicht hektisch im letzten Monat. Hier ist eine praktische Checkliste:

Laufende Aufgaben (zwischen den Audits):

• Dokumentation aktuell halten – neue Prozesse, Gesetzesvorgaben, Produktänderungen dokumentieren
• Abweichungen nachverfolgen – aus dem letzten Audit berichtete Mängel konsequent beheben
• Interne Audits durchführen (mindestens 1–2 Mal pro Jahr) – das zeigt dem externen Auditor:in, dass Sie Ihr System aktiv kontrollieren
• Personalentwicklung – Schulungsunterlagen aktuell halten, neue Mitarbeiter:innen onboarden
• Qualitätsziele überwachen – regelmäßig überprüfen, ob Sie Ihre Ziele erreichen

2–3 Monate vor dem Auditdatum:

• Termin mit der Zertifizierungsstelle bestätigen
• Organisatorische Änderungen zusammentragen (neue Mitarbeiter:innen, Produktänderungen, Standorte)
• Alle Abweichungen aus früheren Audits überprüfen – sind sie wirklich behoben?
• Management Review durchführen und aktualisieren

4–6 Wochen vor dem Audit:

• Dokumentation final überprüfen und aktualisieren
• Prozessverantwortliche briefen – welche Prozesse werden wahrscheinlich geprüft?
• Interne Audits abschließen
• Schulungsaufzeichnungen zusammentragen

1–2 Wochen vor dem Audit:

• Schlüsselpersonen informieren (Geschäftsführung, Qualitätsleitung, Prozessverantwortliche)
• Räumlichkeiten und Ausstattung überprüfen (Auditor:in braucht einen Arbeitsplatz, Zugang zu Systemen)
• Letzte Überprüfung der Abweichungsbehandlung

Technische Vorbereitung mit QMS-Software

Viele Unternehmen nutzen Excel-Tabellen und Word-Dokumente, um ihre QMS-Dokumentation zu verwalten. Das funktioniert für kleine Systeme, wird aber schnell unübersichtlich. Moderne QMS-Lösungen wie SECJUR zentralisieren die Dokumentation und ermöglichen es:

• Alle Änderungen zu dokumentieren – mit Audit Trail
• Abweichungen zentral zu tracken – mit Fälligkeitsdatum und Status
• Interne Audits zu verwalten – mit Checklisten und Abweichungsverfolgung
• Auditor:innen einen Überblick zu geben – das System sieht aktuell aus und wird aktiv betrieben

Das reduziert Vorbereitungszeit und erhöht die Chance auf ein reibungsloses Audit.

Häufige Abweichungen im Überwachungsaudit

Auditor:innen sehen bestimmte Muster immer wieder. Hier sind die häufigsten Abweichungen:

1. Veraltete Dokumentation Prozessbeschreibungen sind noch von 2022, obwohl sich Prozesse geändert haben. Oder Verfahrensanweisungen beziehen sich auf alte Softwaresysteme. Auditor:innen prüfen: Stimmt die dokumentierte Realität mit der gelebten Realität überein?

2. Fehlende Schulungsnachweise Mitarbeiter:innen sind in ihren Rollen tätig, aber es gibt keine Schulungsunterlagen oder Schulungsaufzeichnungen. Das ist eine klassische Abweichung gegen Kapitel 7.2 (Kompetenz). Abhilfe: Schulungen dokumentieren, Schulungsplan führen.

3. Abweichungen nicht behoben Aus dem Audit von vor einem Jahr gibt es noch offene Abweichungen. Das ist besonders kritisch. Abhilfe: Abweichungsregister führen, Fälligkeitsdaten setzen, Status regelmäßig überprüfen.

4. Keine Nachweise für Prozessqualität Es gibt Prüfprotokolle, Inspektionsergebnisse oder Testberichte – aber sie sind unvollständig, oder es ist nicht klar, welche Anforderungen geprüft wurden. Abhilfe: Checklisten definieren, Prüfaufzeichnungen standardisieren.

5. Managementsystem wird nicht gelebt Mitarbeiter:innen kennen die Prozessdokumentation nicht, die Qualitätsziele sind nicht bekannt, oder das Abweichungsmanagement läuft informell ab (z.B. nur im Team besprochen, nicht dokumentiert). Abhilfe: Regelmäßige Schulungen, Managementsystem kommunizieren, Prozesse verankern.

Best Practice: Überwachungsaudit stressfrei durchstehen

Unternehmen, die ihre Audits stressfrei überstehen, machen drei Dinge richtig:

1. Kontinuierliche Dokumentation Sie dokumentieren Änderungen sofort, nicht erst vor dem Audit. Das System ist immer aktuell.

2. Abweichungen konsequent nachverfolgen Jede Abweichung aus früheren Audits wird in ein Register aufgenommen, mit Ursachenanalyse, Maßnahmen und Fälligkeitsdatum. Bis das Audit kommt, sind alle behoben.

3. Regelmäßige interne Audits durchführen Das sind die Generalprobe für das externe Audit. Sie finden Lücken, bevor die Zertifizierungsstelle sie findet.

"Ein Überwachungsaudit ist keine Überraschungsprüfung. Es ist eine regelmäßige Kontrolle eines Systems, das Sie aktiv betreiben. Wenn Sie zwischen den Audits kontinuierlich arbeiten und dokumentieren, sitzt ein externer Auditor:in beim nächsten Überwachungsaudit mit dem Rücken zur Wand – nicht Sie."

Bettina Stearn, ISO/IEC 27001 Auditorin & QM-Fachexpertin bei SECJUR