Internes Audit nach ISO 9001: Fragenkatalog und Ablauf für KMU

Ein internes Audit nach ISO 9001 ist eine geplante, unabhängige Prüfung, ob Ihr Qualitätsmanagementsystem die eigenen Vorgaben und die Anforderungen der Norm erfüllt und ob es wirksam umgesetzt ist. Kapitel 9.2 verlangt interne Audits in geplanten Abständen, gesteuert über ein Auditprogramm, durchgeführt von Personen, die objektiv und unparteiisch auf den auditierten Bereich schauen. Eine feste Häufigkeit nennt die Norm nicht. Sie richtet sich nach der Bedeutung der Prozesse, nach Änderungen und nach den Ergebnissen früherer Audits.

In diesem Beitrag finden Sie den Ablauf eines internen Audits in sechs Schritten, einen Fragenkatalog für die Kapitel 4 bis 10 mit den Neuerungen der ISO 9001:2026, Fragen an die Geschäftsleitung und eine Anleitung, wie Sie Feststellungen bewerten. Was sich mit der neuen Fassung allgemein ändert, lesen Sie in unserem Beitrag zur ISO 9001:2026.

Was Kapitel 9.2 verlangt

Die Anforderungen an interne Audits stehen in Kapitel 9.2. Sinngemäss zusammengefasst verlangt die Norm Folgendes.

• Auditprogramm. Sie planen ein oder mehrere Programme mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung. Dabei berücksichtigen Sie die Bedeutung der Prozesse, Änderungen mit Auswirkungen auf das Unternehmen und die Ergebnisse früherer Audits.
• Kriterien und Umfang je Audit. Für jedes Audit legen Sie fest, wogegen geprüft wird und was dazugehört.
• Objektivität. Auditorinnen und Auditoren werden so ausgewählt, dass Objektivität und Unparteilichkeit gesichert sind.
• Bericht. Die Ergebnisse gehen an die zuständige Leitung.
• Korrekturen. Korrekturen und Korrekturmassnahmen werden ohne ungerechtfertigte Verzögerung umgesetzt.
• Nachweis. Programm und Ergebnisse sind als dokumentierte Information belegt.

Neu mit der ISO 9001:2026. Nach Analysen von Beratern und Zertifizierern verlangt Kapitel 9.2 in der Fassung 2026 für jedes Audit auch Auditziele, nicht nur Kriterien und Umfang. Prüfen Sie den genauen Wortlaut am Normtext, bevor Sie Ihre Vorlagen anpassen. Ein Ziel zu formulieren schadet aber in keinem Fall, etwa «prüfen, ob Reklamationen fristgerecht und wirksam abgeschlossen werden».

ISO 9001 schreibt nicht vor, wie Sie auditieren. Den anerkannten Leitfaden dafür liefert die ISO 19011. Seit Mai 2026 liegt deren vierte Ausgabe vor, die ISO 19011:2026. Sie ersetzt die Fassung 2018 und erweitert vor allem die Anleitung zu Remote-Audits.

Ablauf eines internen Audits in sechs Schritten

Der Ablauf lehnt sich an die ISO 19011 an und lässt sich in einem KMU schlank umsetzen.

1. Auditprogramm planen. Legen Sie fest, welche Prozesse oder Bereiche im Jahr auditiert werden, von wem und wann. Prozesse mit hohem Risiko, vielen Reklamationen oder grossen Änderungen kommen öfter dran.
2. Audit vorbereiten. Ziel, Kriterien und Umfang festhalten, Unterlagen sichten, etwa Prozessbeschreibung, Kennzahlen, letzte Feststellungen, und die Fragen auswählen. Den Termin mit dem auditierten Bereich abstimmen.
3. Eröffnungsgespräch. Kurz Ziel, Ablauf und Zeitrahmen bestätigen. Fünf Minuten genügen.
4. Audit durchführen. Fragen stellen, Nachweise ansehen und Abläufe vor Ort beobachten. Ein Auditnachweis muss überprüfbar sein, etwa ein Dokument, eine Aufzeichnung, eine eigene Beobachtung oder eine Aussage, die sich bestätigen lässt. Eine blosse Behauptung genügt nicht.
5. Abschlussgespräch und Bericht. Feststellungen vorstellen und bewerten, Einigkeit über die Fakten herstellen, Bericht an die zuständige Leitung.
6. Folgemassnahmen. Für jede Abweichung Ursache klären, Korrekturmassnahme mit Verantwortlichem und Frist festlegen und die Wirksamkeit später prüfen. Die Ergebnisse fliessen in die Managementbewertung ein.

Wer darf ein internes Audit durchführen?

Die Norm verlangt keine bestimmte Ausbildung, aber Objektivität, Unparteilichkeit und die nötige Kompetenz. In der Praxis heisst das, niemand auditiert die eigene Arbeit. Kleine Betriebe tauschen deshalb die Bereiche untereinander, die Leiterin Verkauf auditiert die Beschaffung, der Leiter Produktion den Verkauf. Externe Auditorinnen oder Auditoren beizuziehen ist zulässig. Das Audit bleibt ein internes Audit, und die Verantwortung für das Auditprogramm bleibt im Unternehmen.

Fragenkatalog für das interne Audit nach ISO 9001

Die folgenden Fragen sind nach den Kapiteln der Norm geordnet und in eigenen Worten formuliert. Sie ersetzen den Normtext nicht, sie helfen Ihnen beim Vorbereiten. Wählen Sie je Audit die Fragen aus, die zu Ziel und Umfang passen, und fragen Sie immer nach dem Nachweis. Die mit 2026 markierten Fragen betreffen die Neuerungen der ISO 9001:2026. Die Klimafrage gilt bereits seit der Änderung von 2024 und ist in die Fassung 2026 übernommen.

Kapitel 4, Kontext der Organisation

• Welche internen und externen Themen beeinflussen unser Unternehmen, und wann wurden sie zuletzt überprüft?
• Seit 2024. Haben wir bewertet, ob der Klimawandel für uns ein relevantes Thema ist, und ist die Bewertung begründet festgehalten?
• Welche interessierten Parteien sind relevant, und welche Anforderungen haben sie? Haben einzelne Parteien Anforderungen zum Klimawandel?
• Ist der Anwendungsbereich des QM-Systems festgelegt, und ist begründet, welche Anforderungen nicht zutreffen?
• Sind die Prozesse mit Eingaben, Ergebnissen, Verantwortlichen und Kennzahlen beschrieben, etwa in einer Prozesslandkarte?

Kapitel 5, Führung

• Wie zeigt die Geschäftsleitung, dass sie Verantwortung für das QM-System übernimmt?
• 2026. Wie fördert die Geschäftsleitung eine Qualitätskultur und ethisches Verhalten, und woran sieht man das im Alltag?
• Ist die Qualitätspolitik aktuell, passt sie zur strategischen Ausrichtung, und kennen die Mitarbeitenden sie?
• Sind Rollen, Verantwortlichkeiten und Befugnisse festgelegt und bekannt?
• Steht die Kundenorientierung im Alltag im Vordergrund, etwa bei Reklamationen und Lieferterminen?

Kapitel 6, Planung

• 2026. Sind Risiken ermittelt, analysiert und bewertet, und gibt es Massnahmen dazu?
• 2026. Werden Chancen eigenständig bestimmt und mit eigenen Massnahmen verfolgt, nicht nur als Kehrseite eines Risikos?
• Wie wird die Wirksamkeit der Massnahmen zu Risiken und Chancen geprüft?
• Sind die Qualitätsziele messbar, mit Verantwortlichen und Terminen, und wie ist der Stand?
• 2026. Werden Änderungen am QM-System geplant, mit Zweck, Folgen, Ressourcen und Zuständigkeiten? Wird dabei auch festgelegt, wie die Änderung kommuniziert und ihre Wirksamkeit überprüft wird? Den genauen Umfang der Neuerung prüfen Sie am Normtext.

Kapitel 7, Unterstützung

• Stehen die nötigen Ressourcen zur Verfügung, Personal, Infrastruktur und Arbeitsumgebung?
• Werden Prüf- und Messmittel, wo nötig, kalibriert oder verifiziert, und ist der Status erkennbar?
• Ist die nötige Kompetenz je Funktion festgelegt, und wie wird sie nachgewiesen, etwa in einer Schulungsmatrix?
• 2026. Wissen die Mitarbeitenden, welche Qualitätskultur und welche ethischen Grundsätze gelten, und kennen sie ihren Beitrag zur Wirksamkeit des Systems?
• Ist geregelt, wer was wie intern und extern kommuniziert?
• Sind Dokumente gelenkt, mit Version, Freigabe und Gültigkeit? Ist die aktuelle Fassung dort verfügbar, wo sie gebraucht wird?

Kapitel 8, Betrieb

• Wie werden Anforderungen von Kunden vor der Annahme eines Auftrags geprüft, und wie werden Änderungen behandelt?
• Falls zutreffend, wie wird die Entwicklung neuer Produkte oder Dienstleistungen geplant, geprüft und freigegeben?
• Wie werden externe Anbieter ausgewählt, bewertet und überwacht, und gibt es Konsequenzen bei schlechten Bewertungen?
• Laufen Produktion oder Dienstleistungserbringung unter festgelegten Bedingungen, mit Arbeitsanweisungen, geeigneten Mitteln und Prüfungen?
• Sind Kennzeichnung und, wo nötig, Rückverfolgbarkeit sichergestellt? Wie wird mit Eigentum von Kunden umgegangen?
• Wer gibt Produkte oder Dienstleistungen frei, und ist die Freigabe nachgewiesen?
• Wie werden fehlerhafte Produkte gekennzeichnet und behandelt, damit sie nicht versehentlich ausgeliefert werden?

Kapitel 9, Bewertung der Leistung

• Welche Kennzahlen werden überwacht, wie oft und von wem, und was geschieht bei Abweichungen?
• Wie wird die Kundenzufriedenheit ermittelt, und welche Schlüsse wurden daraus gezogen?
• Liegt ein Auditprogramm vor, und wurden die geplanten Audits durchgeführt?
• Hat die Geschäftsleitung die Managementbewertung durchgeführt, mit allen geforderten Eingaben, und sind die Beschlüsse umgesetzt?

Kapitel 10, Verbesserung

• Wie werden Nichtkonformitäten und Reklamationen erfasst, wie wird die Ursache ermittelt, und wird die Wirksamkeit der Korrekturmassnahmen geprüft?
• Sind Korrekturmassnahmen aus früheren Audits abgeschlossen und wirksam?
• Wie werden Verbesserungsmöglichkeiten ermittelt und umgesetzt, auch aus Ideen der Mitarbeitenden?

Fragen an die Geschäftsleitung

Das Gespräch mit der Geschäftsleitung ist der Teil, den viele interne Audits auslassen. Gerade mit den Neuerungen der ISO 9001:2026 ist es wichtig, denn die Anforderungen an die Führung zu Qualitätskultur und ethischem Verhalten lassen sich ohne dieses Gespräch kaum prüfen.

• Welche Qualitätsziele sind für Sie dieses Jahr die wichtigsten, und wie ist der Stand?
• Woran merken Mitarbeitende, dass Qualität für die Geschäftsleitung zählt?
• Wie gehen Sie mit Fehlern um, die jemand selbst meldet?
• Welche grösseren Änderungen stehen an, und wie ist das QM-System daran beteiligt?
• Welche Risiken und Chancen sehen Sie für das Unternehmen, und welche Massnahmen laufen dazu?
• Reichen die Ressourcen für das QM-System, und wo fehlt etwas?

Feststellungen richtig bewerten

Eine Auditfeststellung ist das Ergebnis des Vergleichs der Nachweise mit den Auditkriterien. Sie zeigt Konformität oder Nichtkonformität und kann auch auf Risiken, Verbesserungspotenzial oder gute Praxis hinweisen. Für interne Audits haben sich in der Praxis drei Kategorien bewährt.

Kategorie	Bedeutung	Folge
Abweichung	eine Anforderung der Norm, eine eigene Vorgabe, eine gesetzliche oder eine Kundenanforderung ist nicht erfüllt, belegt durch einen Nachweis	Ursache klären, Korrekturmassnahme mit Frist, Wirksamkeit prüfen
Beobachtung	noch erfüllt, aber mit erkennbarem Risiko, dass es bald nicht mehr erfüllt ist	beobachten, im nächsten Audit gezielt prüfen
Verbesserungspotenzial	erfüllt, aber es geht einfacher, schneller oder sicherer	als Vorschlag an den Bereich, freiwillig

Die Unterscheidung in Haupt- und Nebenabweichung stammt nicht aus der ISO 9001, sondern aus der ISO/IEC 17021-1 für Zertifizierungsstellen. Eine Hauptabweichung beeinträchtigt die Fähigkeit des Systems, die beabsichtigten Ergebnisse zu erreichen, eine Nebenabweichung tut das nicht. Wer intern dieselbe Sprache verwenden möchte, kann das tun.

Ein Hinweis der ISO 9001 Auditing Practices Group, eines Expertengremiums von ISO/TC 176 und IAF, ist auch intern nützlich. Liegt ein Nachweis für eine Abweichung vor, gehört sie als Abweichung in den Bericht. Wer sie aus Rücksicht als Beobachtung oder Empfehlung abschwächt, nimmt der Korrekturmassnahme die Dringlichkeit.

Häufige Fehler im internen Audit

• Jedes Jahr dieselbe Checkliste. Die Fragen passen dann nicht zu den aktuellen Risiken und Änderungen, und die Antworten werden auswendig gegeben.
• Nur gefragt, nichts angesehen. Ohne Nachweis bleibt eine Feststellung eine Meinung.
• Feststellungen ohne Massnahme. Was im Bericht steht und nicht nachverfolgt wird, taucht im nächsten Audit wieder auf.
• Die Geschäftsleitung bleibt aussen vor. Gerade die Neuerungen zu Führung, Qualitätskultur und Ethik betreffen sie direkt.
• Der Bericht dauert länger als das Audit. Dann sinkt die Bereitschaft, überhaupt zu auditieren.

Interne Audits mit QuKI planen und durchführen

Ein Fragenkatalog ist ein guter Anfang. Den Überblick über ein ganzes Auditjahr behalten Sie damit aber nicht, und die Feststellungen müssen trotzdem jemand verfolgen.

Im Auditmanagement von QuKI planen Sie das Auditprogramm in einer Jahresübersicht und auditieren mit Checklisten je Norm. Die KI liest Ihre Prozessdokumente und schlägt Prüffragen vor, jede mit einem Vertrauenswert, Sie übernehmen, ändern oder verwerfen jeden Vorschlag. Während des Audits halten Sie Feststellungen fest, den Auditbericht erstellt die KI als Vorschlag, und Sie geben ihn frei. Aus Feststellungen werden Massnahmen mit Verantwortlichem und Frist, und die Ergebnisse fliessen in die Managementbewertung ein. Reklamationen und Korrekturmassnahmen führen Sie im Reklamationsmanagement, die Prozessdokumente in der Dokumentenlenkung.

Häufige Fragen zum internen Audit

Wie oft muss ein internes Audit nach ISO 9001 stattfinden?

Die Norm nennt keine feste Häufigkeit, sie verlangt Audits in geplanten Abständen. Wie oft ein Prozess auditiert wird, richtet sich nach seiner Bedeutung, nach Änderungen und nach den Ergebnissen früherer Audits. In vielen KMU ist es üblich, jeden Prozess einmal im Jahr zu auditieren, das ist aber Praxis und keine Anforderung.

Ist ein internes Audit vor der Erstzertifizierung Pflicht?

Ja. Die Zertifizierungsstelle prüft in der ersten Stufe des Zertifizierungsaudits, ob interne Audits und die Managementbewertung geplant und durchgeführt werden. Ob bis dahin bereits alle Prozesse intern auditiert sein müssen, legt die Norm nicht fest. In der Praxis erwarten das manche Zertifizierungsstellen, klären Sie es deshalb vorab mit Ihrer Zertifizierungsstelle.

Darf die Qualitätsmanagementbeauftragte das ganze System auditieren?

Nur die Bereiche, für die sie nicht selbst verantwortlich ist. Ihre eigenen Aufgaben, etwa die Dokumentenlenkung oder das Auditprogramm selbst, auditiert besser jemand anderes, intern oder extern.

Muss man nach Kapiteln oder nach Prozessen auditieren?

Die Norm schreibt keine Form vor. Beim Aufbau des Systems hilft es, Kapitel für Kapitel zu prüfen. Danach ist ein prozessorientiertes Audit meist aussagekräftiger, weil es zeigt, ob die Abläufe im Alltag funktionieren.

Sind Remote-Audits zulässig?

Ja. Die ISO 19011:2026 baut die Anleitung zu Remote-Audits deutlich aus. Die Wahl der Methode, die eingesetzten Werkzeuge und die Vertraulichkeit gehören in die Planung. Für Begehungen in Produktion oder Lager ist ein Audit vor Ort meist aussagekräftiger.

Was ist der Unterschied zwischen internem Audit und Managementbewertung?

Das interne Audit prüft, ob das System die Anforderungen erfüllt und wirksam umgesetzt ist. Die Managementbewertung nach Kapitel 9.3 ist die Bewertung durch die Geschäftsleitung, ob das System insgesamt geeignet, angemessen und wirksam ist. Die Ergebnisse der internen Audits sind eine ihrer Eingaben.

Ihr nächster Schritt

Sie möchten sehen, wie Auditprogramm, KI-Prüffragen, Feststellungen und Auditbericht in einem System zusammenhängen? In einer Demo von QuKI zeigen wir es Ihnen in 30 Minuten an Ihren eigenen Prozessen.

Die Anforderungen der ISO 9001 sind in diesem Beitrag sinngemäss wiedergegeben. Verbindlich ist der Normtext, erhältlich in der Schweiz bei der SNV. Angaben zur ISO 9001:2026 stützen sich auf Veröffentlichungen von Zertifizierungsstellen und Fachverlagen, Angaben zur ISO 19011:2026 auf iso.org, Stand Oktober 2026.