Welche Auditbefunde sind meldepflichtig?

Nicht jeder Auditbefund löst automatisch eine Meldepflicht aus. Meldepflichtig sind in der Regel Hauptbefunde (Major Nonconformities), also schwerwiegende Abweichungen, die Normanforderungen grundlegend verletzen, die Produktsicherheit gefährden oder Systemversagen anzeigen. Nebenbefunde und Beobachtungen unterliegen zwar ebenfalls der Dokumentationspflicht, erfordern aber keine sofortige Eskalation. Welche Kriterien im Detail entscheiden, an wen gemeldet wird und welche Fristen gelten, klärt dieser Artikel.

Welche Arten von Auditbefunden gibt es?

Auditbefunde werden in drei Hauptkategorien unterteilt: Hauptbefunde (Major Nonconformities), Nebenbefunde (Minor Nonconformities) und Beobachtungen (Observations). Diese Klassifizierung ist normübergreifend anerkannt und bildet die Grundlage für jede Entscheidung über Meldepflicht, Priorisierung und Folgemaßnahmen.

Hauptbefunde (Major Nonconformities)

Ein Hauptbefund liegt vor, wenn eine Anforderung einer Norm oder eines Regelwerks vollständig nicht erfüllt wird oder ein systematisches Versagen eines Prozesses erkennbar ist. Typische Beispiele sind das Fehlen einer vorgeschriebenen Dokumentation, wiederholte gleichartige Abweichungen oder eine Gefährdung der Produktsicherheit. Hauptbefunde erfordern unmittelbares Handeln und sind in aller Regel meldepflichtig.

Nebenbefunde (Minor Nonconformities)

Nebenbefunde beschreiben partielle oder einmalige Abweichungen, die eine Anforderung zwar verletzen, aber das Gesamtsystem nicht grundlegend gefährden. Sie sind zu dokumentieren und mit Korrekturmaßnahmen zu versehen, lösen jedoch in den meisten Normen keine sofortige Eskalationspflicht aus.

Beobachtungen und Verbesserungspotenziale

Beobachtungen sind Hinweise auf mögliche Schwachstellen, die noch keine Normabweichung darstellen, aber Verbesserungspotenzial aufzeigen. Sie fließen in den kontinuierlichen Verbesserungsprozess (KVP) ein und sind ein wichtiger Bestandteil eines vollständigen Audit-Managementsystems, auch wenn sie keine formale Meldepflicht auslösen.

Was macht einen Auditbefund meldepflichtig?

Ein Auditbefund wird meldepflichtig, wenn er eine schwerwiegende Normabweichung darstellt, gesetzliche Anforderungen verletzt, die Produkt- oder Kundensicherheit gefährdet oder im Rahmen eines zertifizierten Managementsystems eine sofortige Korrektur erfordert. Die genauen Kriterien richten sich nach der angewendeten Norm und dem jeweiligen Audittyp.

Für den Prozessaudit nach VDA 6.3 gilt beispielsweise, dass Bewertungen unterhalb eines definierten Schwellenwerts (etwa unter 60 Prozent im Gesamtergebnis oder unter 50 Prozent in einem einzelnen Prozesselement) automatisch als Hauptbefund klassifiziert werden und eine Meldung an den Auftraggeber oder die Unternehmensleitung auslösen. Bei einem Systemaudit nach ISO 9001 oder IATF 16949 ist jede Major Nonconformity dem Zertifizierer zu melden, da sie den Fortbestand der Zertifizierung gefährdet.

Darüber hinaus können interne Regelwerke, Kundenanforderungen oder branchenspezifische Vorgaben eigene Meldeschwellen definieren. Entscheidend ist daher, dass Auditorinnen und Auditoren die Bewertungsschemata der jeweiligen Norm kennen und Befunde konsequent nach diesen Kriterien klassifizieren, bevor die Frage der Meldepflicht beantwortet werden kann.

An wen müssen Auditbefunde gemeldet werden?

Meldepflichtige Auditbefunde müssen je nach Kontext an unterschiedliche Empfänger kommuniziert werden: die unmittelbare Führungskraft oder Prozessverantwortliche, die Unternehmensleitung, interne Qualitätsabteilungen, externe Zertifizierungsstellen oder bei Lieferantenaudits an den auftraggebenden Kunden.

Bei internen Audits nach ISO 9001 richtet sich die Meldung in erster Linie an die Unternehmensleitung sowie an die für den betroffenen Bereich verantwortlichen Personen. Die Norm verlangt, dass Ergebnisse interner Audits als Eingabe für die Managementbewertung dienen. Hauptbefunde müssen also nicht nur dem Auditee mitgeteilt, sondern auch in den formalen Managementprozess eingespeist werden.

Bei Zertifizierungsaudits ist die Zertifizierungsstelle direkt involviert. Sie erhält den vollständigen Auditbericht und entscheidet auf Basis der dokumentierten Befunde über Auflagen, Nachaudits oder den Entzug der Zertifizierung. Beim Systemaudit nach IATF 16949 gelten besonders strenge Meldepflichten gegenüber der Zertifizierungsstelle, die bei bestimmten Befunden innerhalb festgelegter Fristen informiert werden muss.

Im Rahmen von Lieferantenaudits meldet der auditierte Lieferant seine Befunde und Korrekturmaßnahmen an den Auftraggeber zurück. Dieser erwartet in der Regel eine strukturierte Rückmeldung nach dem 8D-Verfahren oder einem vergleichbaren Format.

Welche Fristen gelten für die Meldung von Auditbefunden?

Die Fristen für die Meldung von Auditbefunden variieren je nach Norm und Schweregrad. Hauptbefunde bei Zertifizierungsaudits nach ISO 9001 oder IATF 16949 müssen in der Regel innerhalb von 30 bis 90 Tagen mit einem dokumentierten Korrekturmaßnahmenplan beantwortet werden. Bei sicherheitskritischen Befunden können deutlich kürzere Fristen gelten.

Im Einzelnen lassen sich folgende Richtwerte nennen:

• VDA 6.3: Bei einem Gesamtergebnis unter 60 Prozent ist ein Sofortmaßnahmenplan gefordert; die Frist für den vollständigen Korrekturmaßnahmenplan beträgt üblicherweise 4 bis 8 Wochen.
• ISO 9001 / IATF 16949: Hauptbefunde aus Zertifizierungsaudits müssen der Zertifizierungsstelle typischerweise innerhalb von 30 bis 60 Tagen mit einem Nachweis der eingeleiteten Maßnahmen gemeldet werden.
• Interne Audits: Interne Fristen werden durch das unternehmensinterne Qualitätsmanagementsystem festgelegt; üblich sind 30 Tage für die Einleitung von Korrekturmaßnahmen bei Hauptbefunden.
• Lieferantenaudits: Der Auftraggeber definiert die Rückmeldefrist; häufig sind 8D-Berichte innerhalb von 30 Tagen gefordert.
• Arbeitssicherheitsaudits (HSE): Bei sicherheitsrelevanten Befunden gelten oft sofortige Handlungspflichten, unabhängig von formalen Meldefristen.

Wichtig ist, dass Fristen nicht erst ab dem Zeitpunkt der Berichterstellung laufen, sondern häufig ab dem Auditdatum. Eine schnelle Dokumentation und Übergabe des Auditberichts sind daher entscheidend, um ausreichend Zeit für die Maßnahmenumsetzung zu gewinnen.

Wie werden Auditbefunde korrekt dokumentiert und nachverfolgt?

Auditbefunde werden korrekt dokumentiert, indem jede Abweichung eindeutig beschrieben, einer Normforderung zugeordnet, klassifiziert und mit einem Nachweis (z. B. Foto, Messwert, Dokument) belegt wird. Die Nachverfolgung erfordert einen vollständigen Maßnahmenplan mit Verantwortlichkeiten, Fristen und einem dokumentierten Wirksamkeitsnachweis.

Eine vollständige Befunddokumentation enthält mindestens:

1. Eine klare Beschreibung der Abweichung (Was wurde festgestellt?)
2. Den Bezug zur verletzten Norm- oder Prozessanforderung
3. Die Klassifizierung (Haupt- oder Nebenbefund, Beobachtung)
4. Objektive Nachweise (Fotos, Messprotokolle, Dokumente)
5. Die vereinbarte Korrekturmaßnahme mit Verantwortlichem und Frist
6. Den Wirksamkeitsnachweis nach Abschluss der Maßnahme

Die Nachverfolgung ist ebenso wichtig wie die initiale Dokumentation. Offene Maßnahmen müssen aktiv überwacht werden, da eine nicht umgesetzte Korrekturmaßnahme bei einem Folgeaudit selbst als Befund gewertet werden kann. Moderne Ansätze nutzen digitale Werkzeuge, um Befunde direkt vor Ort zu erfassen, automatisch in Berichte zu überführen und Maßnahmen mit Erinnerungsfunktionen zu verknüpfen. Das reduziert Übertragungsfehler und stellt sicher, dass kein Befund verloren geht. Wer mehr über digitale Audit-Features erfahren möchte, findet dort einen guten Überblick über zeitgemäße Dokumentationsmöglichkeiten.

Ein durchdachtes Rechte- und Rollenkonzept sorgt dabei dafür, dass jede Nutzergruppe, vom Auditor bis zur Unternehmensleitung, genau die für sie relevanten Informationen erhält und Maßnahmen gezielt eskaliert werden können.

Was passiert, wenn meldepflichtige Auditbefunde ignoriert werden?

Werden meldepflichtige Auditbefunde ignoriert, drohen ernsthafte Konsequenzen: der Verlust oder die Aussetzung einer Zertifizierung, Liefersperren durch Kunden, behördliche Sanktionen bei gesetzlich relevanten Befunden sowie ein erheblicher Reputationsschaden. Im schlimmsten Fall können unbehandelte sicherheitsrelevante Befunde zu Produktrückrufen oder Unfällen führen.

Im Kontext von Zertifizierungsaudits ist die Konsequenz klar geregelt: Werden Hauptbefunde nicht fristgerecht mit einem Korrekturmaßnahmenplan beantwortet, kann die Zertifizierungsstelle die Zertifizierung aussetzen oder entziehen. Für Unternehmen in der Automobilindustrie, die nach IATF 16949 oder VDA 6.3 zertifiziert sind, bedeutet das im Extremfall den Verlust der Lieferberechtigung gegenüber OEMs.

Auch intern entstehen Risiken: Wiederkehrende, unbehandelte Befunde sind ein Zeichen für systematische Prozessschwächen, die sich mit der Zeit zu größeren Qualitätsproblemen ausweiten. Zudem verliert das Auditprogramm seine Wirkung, wenn Befunde zwar erfasst, aber nicht konsequent verfolgt werden. Das untergräbt die Glaubwürdigkeit des Qualitätsmanagementsystems und demotiviert Auditorinnen und Auditoren.

Kurz gesagt: Die Meldung und Nachverfolgung von Auditbefunden ist keine bürokratische Pflichtübung, sondern ein zentrales Element eines funktionierenden Qualitätsmanagementsystems. Nur wer Befunde ernst nimmt und konsequent bearbeitet, profitiert langfristig von seinen Audits.

Wie cluetec GmbH bei der Verwaltung von Auditbefunden unterstützt

Wir bei cluetec GmbH haben eine cloudbasierte Audit-Management-Software entwickelt, die den gesamten Befundprozess, von der Erfassung bis zum Wirksamkeitsnachweis, digital abbildet und automatisiert. Damit entfällt das manuelle Nachverfolgen von Befunden in Excel-Tabellen oder Papierordnern vollständig.

Konkret unterstützt cluetec Audit bei meldepflichtigen Auditbefunden durch:

• Automatische Befundklassifizierung: Bewertungsschemata und Abstufungsregeln für Normen wie VDA 6.3, ISO 9001 und IATF 16949 sind direkt in der Software hinterlegt, sodass Haupt- und Nebenbefunde normkonform klassifiziert werden.
• Sofortige Berichterstellung: Nach Abschluss eines Audits wird automatisch ein vollständiger, normkonformer Auditbericht generiert, inklusive korrektem Scoring und allen Befunden mit Nachweisen.
• Integriertes Maßnahmenmanagement: Aus jedem Befund werden automatisch Maßnahmen generiert, die mit Verantwortlichkeiten, Fristen und Prioritäten versehen werden. Automatische Erinnerungen und Eskalationsmechanismen stellen sicher, dass keine Frist übersehen wird.
• Lückenlose Nachverfolgung: Der gesamte Maßnahmenstatus ist jederzeit einsehbar, von der initialen Definition bis zum dokumentierten Wirksamkeitsnachweis.
• KI-gestützte Analyse: Die Audit Intelligence erkennt Muster in historischen Befunden, identifiziert wiederkehrende Schwachstellen und empfiehlt wirksame Maßnahmen auf Basis vergangener Erfahrungen.
• Rollenbasierter Zugriff: Vom externen Lieferanten bis zur Unternehmensleitung erhält jede Nutzergruppe genau die Informationen, die für sie relevant sind, in präsentationsfähigen Ansichten.

Namhafte Unternehmen wie Volkswagen, Continental und Fraport vertrauen bereits auf unsere Lösung. Wenn Sie Ihre Auditbefunde systematisch erfassen, melden und nachverfolgen möchten, fordern Sie jetzt eine kostenlose Demo an und erleben Sie, wie einfach normkonformes Auditmanagement sein kann.