Auditfeststellungen

Definition

ISO 19011 definiert Feststellungen als Ergebnisse der Bewertung von Nachweisen gegen Kriterien, die Konformität, Nichtkonformität oder Verbesserungspotenzial anzeigen. Die Praxis der internen Revision gliedert sie oft in Kriterium, Sachverhalt, Ursache und Auswirkung.

Warum es wichtig ist

Die Leitung handelt nach dem, was eine Feststellung klar macht. Eine vage Feststellung wird bestritten, und die daraus folgende Maßnahme behandelt meist das Symptom.

Wie es funktioniert

Nennen Sie das Kriterium und die Fakten, mit genügend Referenzen, damit jemand anderes sie überprüfen kann, und lassen Sie Ihre Meinung heraus.

Erklären Sie die Auswirkung auf das Geschäft und suchen Sie die eigentliche Ursache, mit den fünf Warum oder einer ähnlichen Methode. Stufen Sie auf einer vorab festgelegten Skala ein.

Bestätigen Sie die Fakten mit dem auditierten Team. Vereinbaren Sie eine Korrektur für das unmittelbare Problem, eine Korrekturmaßnahme für die Ursache, einen Verantwortlichen und einen Termin. Prüfen Sie später, dass sie gewirkt hat.

Ein Praxisbeispiel

Kriterium: Laptop-Verschlüsselung, vorgeschrieben durch Richtlinie IS-04, Abschnitt 3. Feststellung: 6 von 40 am 12. März geprüften Laptops sind laut Gerätebericht nicht verschlüsselt. Auswirkung: Ein verlorener Laptop würde Kundendaten offenlegen. Ursache: Vor Ort gekaufte Geräte umgehen die IT-Einrichtung. Einstufung: Hauptabweichung.

Die Korrektur ist, die sechs bis zum 20. März zu verschlüsseln. Die Korrekturmaßnahme geht tiefer: Käufe laufen ab dem 30. April über die IT.

Bewährte Praktiken

• Schreiben Sie eine Feststellung pro Thema, damit jede für sich geschlossen werden kann.
• Stufen Sie nach der Auswirkung auf die Ziele ein. Zehn belanglose Fälle können weniger zählen als ein schwerer.
• Besprechen Sie die Fakten, bevor der Bericht hinausgeht, denn Überraschungen bringen das auditierte Team gegen Sie auf.
• Halten Sie offene Feststellungen für die Leitung sichtbar, bis sie geschlossen sind.

Häufige Fehler

• Eine Person als Ursache zu benennen. Das beendet die Analyse zu früh und macht Menschen defensiv.
• „Den Prozess verbessern“ als Maßnahme zu schreiben.
• Mehrere Themen in einer Feststellung zu mischen, die dann nie geschlossen wird.
• Feststellungen zu schließen, ohne zu prüfen, ob die Behebung gewirkt hat.

Fragen

Was unterscheidet Haupt- und Nebenabweichungen?

In der Zertifizierung beeinträchtigt eine Hauptabweichung die Fähigkeit des Systems, seine Ergebnisse zu erreichen, etwa eine völlig fehlende Anforderung. Eine Nebenabweichung ist ein vereinzeltes Versagen.

Was ist eine Auditbeobachtung?

Ein Punkt, der keine Abweichung ist, aber zu einer werden oder verbessert werden könnte. Die Bezeichnung variiert je nach Auditschema.

Was unterscheidet Korrektur und Korrekturmaßnahme?

Eine Korrektur behebt das gefundene Problem. Eine Korrekturmaßnahme beseitigt seine Ursache, damit es nicht wiederkehrt.

Darf das auditierte Team einer Feststellung widersprechen?

Ja. Es kann die Fakten anfechten, und ISO 19011 erwartet, dass ungelöste Meinungsverschiedenheiten festgehalten werden.

Wie lange hat man Zeit, eine Feststellung zu schließen?

Der Maßnahmenplan legt den Termin fest. Zertifizierungsstellen setzen für Hauptabweichungen eigene Fristen.