Interne Audits extern vergeben: Wann sich ein unabhängiger Auditor lohnt – und was er kostet

Interne Audits sind Pflicht in jeder ISO-Norm – und in vielen Unternehmen das Kapitel, das am häufigsten „irgendwie“ erledigt wird. Der QMB auditiert seine eigenen Prozesse, der Termin rutscht dreimal, und der Bericht entsteht am Abend vor dem Zertifizierungsaudit. Das Ergebnis erfüllt die Norm auf dem Papier, bringt dem Unternehmen aber wenig. Dieser Artikel zeigt, wann es sich lohnt, das interne Audit an einen externen, unabhängigen Auditor zu vergeben, was die Norm dazu tatsächlich sagt – und was Sie das kostet.

Was die Norm zum internen Audit wirklich verlangt

ISO 9001:2015 fordert in Abschnitt 9.2, dass Sie in geplanten Abständen interne Audits durchführen. Ziel ist die Information, ob Ihr Managementsystem Ihre eigenen Anforderungen und die der Norm erfüllt – und ob es wirksam verwirklicht und aufrechterhalten wird. Die Norm macht dazu sechs konkrete Vorgaben:

• ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung – das die Bedeutung der Prozesse, Änderungen im Unternehmen und Ergebnisse früherer Audits berücksichtigt,
• für jedes Audit festgelegte Auditkriterien und Umfang,
• Auditoren, die so ausgewählt werden, dass Objektivität und Unparteilichkeit des Auditprozesses sichergestellt sind,
• Berichterstattung der Ergebnisse an die zuständige Leitung,
• Korrekturen und Korrekturmaßnahmen ohne ungerechtfertigte Verzögerung,
• dokumentierte Information als Nachweis für Programm und Ergebnisse.

Zwei Dinge fallen auf. Erstens: Die Norm schreibt nirgends vor, dass eigene Mitarbeiter auditieren müssen. Sie verlangt Objektivität und Unparteilichkeit – von wem diese kommen, ist Ihnen überlassen. Zweitens: Abschnitt 7.2 (Kompetenz) nennt als zulässige Maßnahme zum Kompetenzaufbau ausdrücklich auch die Beauftragung kompetenter Personen. Ein externer Auditor ist also kein Trick, sondern ein von der Norm vorgesehener Weg.

Die Leitlinie ISO 19011 ergänzt: Bei internen Audits sollten Auditoren von der auditierten Funktion unabhängig sein, soweit das in der Praxis umsetzbar ist. Genau dieses „soweit umsetzbar“ ist in kleinen und mittleren Unternehmen der Knackpunkt. Mehr dazu auch im Beitrag Wer darf interne Audits durchführen?

Warum interne Audits im eigenen Haus oft schwach laufen

Aus vielen Auditprojekten sehe ich immer wieder dieselben vier Muster – unabhängig von Branche oder Größe:

1. Keine echte Unabhängigkeit. In einem Unternehmen mit 20 bis 80 Mitarbeitern gibt es meist genau eine Person, die die Norm kennt: den QMB oder den Informationssicherheitsbeauftragten. Diese Person hat das System aufgebaut – und soll es jetzt kritisch prüfen. Das funktioniert selten, und Zertifizierungsauditoren fragen inzwischen gezielt nach, wie Sie die Unparteilichkeit sicherstellen.
2. Zeit. Das interne Audit konkurriert mit dem Tagesgeschäft und verliert. Es wird verschoben, verkürzt oder in der Woche vor dem Zertifizierungsaudit nachgeholt – dann ist keine Zeit mehr, die Feststellungen auch abzuarbeiten.
3. Fehlende Auditkompetenz. Die Norm zu kennen heißt nicht, auditieren zu können. Interviewtechnik, Stichprobenauswahl, Nachweisbewertung und die Formulierung einer Feststellung, mit der der Fachbereich arbeiten kann, sind Handwerk.
4. Betriebsblindheit. Wer die Prozesse täglich lebt, sieht die Lücke nicht mehr. Der Klassiker: Die Verfahrensanweisung beschreibt einen Ablauf, den es seit zwei Jahren so nicht mehr gibt – und niemand im Haus stolpert darüber.

Das Ergebnis sind Auditberichte ohne eine einzige Abweichung. Das klingt gut, ist für den Zertifizierer aber ein Warnsignal: Ein internes Audit, das nichts findet, hat meist nicht richtig hingeschaut.

Wann sich ein externer Auditor lohnt – und wann nicht

Ein externer interner Auditor ist nicht für jedes Unternehmen die richtige Lösung. Sinnvoll ist er typischerweise in diesen Situationen:

• Ein-Personen-QM: Es gibt niemanden im Haus, der den QMB oder ISB unabhängig auditieren könnte.
• Vor der Erstzertifizierung oder Rezertifizierung: Sie wollen vor Stufe 1 und Stufe 2 wissen, wo Sie stehen – nicht erst im Audit erfahren.
• Mehrere Normen: Sie betreiben ISO 9001 und ISO 27001 (oder 14001, TISAX) parallel und wollen ein Audit, das beide Systeme im Zusammenhang bewertet.
• Neue Anforderungen: Kundenvorgaben, NIS-2 oder eine Normrevision wie die ISO 9001:2026 machen eine neutrale Bestandsaufnahme nötig.
• Kapazität: Die Audits bleiben seit zwei Jahren liegen und das nächste Überwachungsaudit steht an.

Weniger sinnvoll ist die Vergabe, wenn Sie ein eingespieltes Team aus mehreren geschulten internen Auditoren haben, die sich gegenseitig über Abteilungsgrenzen hinweg auditieren können. Dann ist das interne Audit ein wertvolles Instrument der Eigenentwicklung, das Sie nicht abgeben sollten. Ein guter Mittelweg: Der externe Auditor prüft die Prozesse des QMB selbst und die Kapitel, für die intern das Know-how fehlt – den Rest macht das eigene Team.

Mehrere Normen, ein Audit

ISO 9001, 14001 und 27001 folgen derselben Grundstruktur (High Level Structure). Kontext, Führung, Planung, Unterstützung, Bewertung und Verbesserung sind in allen drei Normen nahezu gleich aufgebaut. In einem kombinierten internen Audit werden diese gemeinsamen Kapitel einmal geprüft und nur die normspezifischen Anforderungen – etwa die Annex-A-Maßnahmen der 27001 oder die Umweltaspekte der 14001 – gezielt ergänzt. Für Sie bedeutet das: ein Auditplan, ein Termin, ein Bericht. Für ein TISAX-Assessment gilt das sinngemäß: Ein internes Audit nach VDA ISA deckt vorab die Lücken auf, das eigentliche Assessment führt später ein akkreditierter Prüfdienstleister durch.

So läuft ein externes internes Audit ab

Der Ablauf ist überschaubar und lässt sich zu großen Teilen remote abwickeln:

1. Auditplanung: Scope, Auditkriterien und Termine abstimmen, Auditprogramm aufsetzen oder in Ihr bestehendes integrieren. Vorab werden die wesentlichen Dokumente gesichtet.
2. Durchführung: Interviews mit den Prozessverantwortlichen und Prüfung der Nachweise – vor Ort oder per Videokonferenz. Bei physischen Themen wie Zutritt, Lager oder Umweltaspekten ist ein Vor-Ort-Termin sinnvoll.
3. Auditbericht: Feststellungen, Abweichungen und Verbesserungspotenziale, sauber einer Normforderung zugeordnet und mit den gesichteten Nachweisen belegt. So, dass der Zertifizierer ihn akzeptiert und Ihre Fachbereiche damit arbeiten können.
4. Maßnahmen und Follow-up: Priorisierung der Maßnahmen, auf Wunsch Nachverfolgung bis zum Zertifizierungstermin – und direkt nutzbarer Input für Ihr Management-Review.

Typischer Zeitbedarf für ein KMU mit einer Norm: ein halber bis ein ganzer Audittag plus Vor- und Nachbereitung. Bei integrierten Systemen entsprechend mehr, aber deutlich weniger als zwei getrennte Audits.

Was kostet ein externer interner Auditor?

Die Kosten hängen vom Umfang ab: Anzahl der Normen, Standorte, Prozesse und der Frage, ob vor Ort oder remote auditiert wird. Als Orientierung für kleine und mittlere Unternehmen:

• Internes Audit ISO 9001 (eine Norm, ein Standort): pauschal 800 bis 1.500 Euro netto, inklusive Vorbereitung, Durchführung und Bericht.
• Kombiniertes Audit (z. B. ISO 9001 + 27001): je nach Umfang meist im Bereich von ein bis zwei Audittagen; der Tagessatz für Zertifizierungsbegleitung liegt bei 600 bis 1.200 Euro.
• Remote statt vor Ort: spart Reisekosten und -zeit – und ist bei den meisten Managementsystem-Themen ohne Qualitätsverlust möglich.

Zum Vergleich: Ein interner Mitarbeiter, der zwei bis drei Tage für Vorbereitung, Audit und Bericht bindet, kostet das Unternehmen in der Regel mehr – ohne die geforderte Unabhängigkeit zu liefern. Und eine Hauptabweichung im Zertifizierungsaudit, die ein sauberes internes Audit vorher aufgedeckt hätte, kostet schnell ein Nachaudit plus mehrere Wochen Verzögerung. Eine Übersicht aller Leistungen mit Preisrahmen finden Sie im Kostenrechner.

Worauf Sie bei der Auswahl achten sollten

• Nachweisbare Auditerfahrung in genau Ihrer Norm – nicht nur Beratungserfahrung. Fragen Sie nach Auditorenqualifikation (z. B. nach ISO 19011) und nach Referenzen aus vergleichbaren Unternehmen.
• Keine Vermischung mit dem Zertifizierer: Ihr interner Auditor darf nicht gleichzeitig Ihr Zertifizierungsauditor sein. Die Unabhängigkeit gilt in beide Richtungen.
• Berichtsqualität: Lassen Sie sich einen anonymisierten Musterbericht zeigen. Eine gute Feststellung benennt Normforderung, Nachweis und Lücke – keine Stichworte auf einer Checkliste.
• Verständnis für KMU: Der Auditor sollte zwischen „Normforderung“ und „Best Practice aus dem Konzern“ unterscheiden können. Sie brauchen ein wirksames System, kein aufgeblähtes.

Fazit

Das interne Audit ist das einzige Instrument Ihres Managementsystems, das Ihnen vor dem Zertifizierer sagt, wo Sie wirklich stehen. Wenn im eigenen Haus Unabhängigkeit, Zeit oder Auditkompetenz fehlen, ist die Vergabe an einen externen Auditor kein Eingeständnis, sondern eine saubere Umsetzung dessen, was die Norm ohnehin verlangt: Objektivität, Unparteilichkeit und kompetente Personen. Die Kosten sind überschaubar – und stehen in keinem Verhältnis zu einem vermasselten Zertifizierungsaudit.

Sie überlegen, Ihre internen Audits extern zu vergeben oder Ihr bestehendes Auditprogramm zu ergänzen? Auf der Seite Interne Audits als Dienstleistung finden Sie Ablauf und Schwerpunkte für ISO 9001, 27001, 14001 und TISAX – oder Sie buchen direkt ein kostenloses Vorgespräch.