Audit-Vorbereitung für Compliance-Teams: Alle Nachweise rechtzeitig statt in letzter Minute

Drei Wochen vor dem Überwachungsaudit meldet sich die Zertifizierungsstelle mit dem finalen Termin und der Agenda. Ab diesem Moment beginnt in vielen Compliance-Abteilungen dasselbe Muster: E-Mails an Abteilungsleitungen, Rückfragen bei der Personalabteilung nach den aktuellen Schulungsnachweisen, die Suche nach einer Betriebserlaubnis, die irgendwo in einem Ordner oder einem Postfach liegt. Was ein Routinevorgang sein sollte, wird zur Suchaktion unter Zeitdruck - und am Ende zählt nicht, wie gut das Qualitätsmanagement tatsächlich funktioniert, sondern ob die Nachweise rechtzeitig auf dem Tisch liegen.

Warum die Vorbereitung so oft aus dem Ruder läuft

Die meisten Compliance- und Qualitätsmanagement-Teams wissen genau, welche Nachweise ein Audit verlangt: Zertifikate, behördliche Genehmigungen, Prüfprotokolle, Schulungsnachweise, Wartungsnachweise für Anlagen, Lieferantenbewertungen. Das Problem liegt selten im Wissen, sondern in der Ablage. Dokumente liegen verteilt auf Netzlaufwerken, in persönlichen Postfächern, auf Papier in Aktenordnern oder in Tools, die einzelne Abteilungen ohne Absprache eingeführt haben. Wenn dann ein Auditor nach dem gültigen Schweißerpass eines bestimmten Mitarbeiters oder der aktuellen Fassung einer Druckbehälterprüfung fragt, beginnt die Suche von vorn - und oft stellt sich erst dabei heraus, dass ein Nachweis seit Wochen abgelaufen ist.

Typische Fehler bei der Audit-Vorbereitung

• Nachweise liegen verteilt in Postfächern, Ordnern und bei einzelnen Mitarbeitenden statt an einem zentralen, für alle Beteiligten zugänglichen Ort.
• Niemand trägt eindeutig die Verantwortung dafür, Ablauftermine von Zertifikaten, Genehmigungen und Schulungen im Blick zu behalten.
• Die eigentliche Vorbereitung beginnt erst, sobald der Audittermin feststeht, statt als laufender Prozess mitzulaufen.
• Es werden veraltete Versionen vorgelegt, weil nicht klar markiert ist, welche Fassung eines Dokuments aktuell gültig ist.
• Schulungsnachweise existieren zwar, sind aber nicht mit den zugehörigen Prozessen, Maschinen oder Mitarbeitenden verknüpft.
• Es gibt keine Vertretungsregelung, wenn die für ein Thema zuständige Person im Urlaub, krank oder gar nicht mehr im Unternehmen ist.
• Man verlässt sich auf eine Excel-Liste, die zwar einmal sauber angelegt wurde, seither aber niemand mehr konsequent gepflegt hat.
• Externe Nachweise, etwa von Lieferanten oder Dienstleistern, werden nur einmalig bei Vertragsschluss angefordert und danach nicht mehr aktualisiert.

Auffällig an dieser Liste ist, dass fast keiner der Punkte mit fehlendem Fachwissen zu tun hat. Die betroffenen Teams kennen die Anforderungen der Norm in der Regel sehr genau - was fehlt, ist eine verlässliche Struktur, die Nachweise unabhängig vom Gedächtnis einzelner Personen auffindbar und aktuell hält.

Ein Beispiel aus der Praxis

Ein mittelständischer Maschinenbauer mit rund 180 Mitarbeitenden bereitet sich auf sein jährliches Überwachungsaudit nach ISO 9001 vor. Die Qualitätsmanagement-Beauftragte hat eine Liste mit rund 60 Dokumenten im Kopf, die typischerweise abgefragt werden: Kalibrierscheine für Messmittel, Schweißerprüfungen, Unterweisungsnachweise zum Arbeitsschutz, Wartungsprotokolle für die Lackierstraße, Freigaben für neue Lieferanten. Zwei Wochen vor dem Termin beginnt sie, alles zusammenzutragen, und merkt schnell, dass drei Kalibrierscheine seit über einem Monat abgelaufen sind, ein Mitarbeiter mit einer nicht mehr gültigen Schweißerprüfung eingesetzt wurde und eine Unterweisung für neue Auszubildende nie dokumentiert wurde. Nichts davon ist ein grober Verstoß, aber in der Summe reicht es für mehrere Abweichungen im Auditbericht - und für einen sehr angespannten Endspurt der letzten Tage vor dem Audit.

Was schlechte Vorbereitung tatsächlich kostet

Solche Situationen sind kein Einzelfall. Laut einer Bitkom-Erhebung aus dem Jahr 2025 unter 603 Unternehmen ab 20 Mitarbeitenden geben 73 Prozent der Befragten die Dokumentation von Prozessen und Tätigkeiten als größten Aufwandstreiber bei der Erfüllung regulatorischer Pflichten an, noch vor der technischen Umsetzung mit 69 Prozent. Insgesamt berichten laut derselben Bitkom-Untersuchung 97 Prozent der Unternehmen von hohem Aufwand bei datenschutz- und compliancebezogenen Nachweispflichten, 44 Prozent sogar von sehr hohem Aufwand. Diese Zahlen beziehen sich zwar konkret auf Datenschutzdokumentation, zeigen aber ein Muster, das sich in Qualitäts- und Zertifizierungsaudits ebenso wiederfindet: Der Engpass liegt selten in der inhaltlichen Erfüllung der Anforderungen, sondern im Zusammentragen und Aktuellhalten der Belege dafür.

Ein zweiter Faktor kommt hinzu: viele Unternehmen arbeiten bei genau diesen Nachweisen noch papierbasiert. Laut dem Bitkom Digital Office Index 2024 arbeiten 15 Prozent der deutschen Unternehmen inzwischen vollständig papierlos - gegenüber 8 Prozent zwei Jahre zuvor -, während 38 Prozent noch etwa die Hälfte ihrer Büro- und Verwaltungsprozesse auf Papier abwickeln. Für die Audit-Vorbereitung bedeutet das: Ein relevanter Teil der Nachweise liegt nicht durchsuchbar in einem System, sondern in Ordnern, die erst physisch durchgesehen werden müssen, wenn eine Frist naht oder ein Auditor konkret danach fragt.

Der eigentliche Schaden entsteht dabei selten durch einen einzelnen fehlenden Nachweis, sondern durch die Häufung kleinerer Abweichungen und den Zeitaufwand, der für die Nachbesserung anfällt. Jede Abweichung im Auditbericht zieht in der Regel eine Frist für eine Korrekturmaßnahme nach sich, die dokumentiert und im Folgeaudit erneut geprüft wird - das bindet über Wochen hinweg Kapazität, die eigentlich für die eigentliche Qualitäts- oder Compliance-Arbeit gedacht war.

Die Vorgehensweise: In sechs Schritten zu einem audit-sicheren Nachweisstand

Die folgenden Schritte lassen sich unabhängig von Unternehmensgröße und Branche umsetzen und bauen aufeinander auf: Erst wird geklärt, was überhaupt gebraucht wird, dann, wer dafür zuständig ist, und erst danach folgt die laufende Pflege.

1. Anforderungskatalog erstellen. Gehen Sie die relevante Norm oder Vorschrift durch (etwa ISO 9001, ISO 14001, ISO 45001 oder branchenspezifische Regelwerke) und listen Sie jede Nachweisart auf, die typischerweise verlangt wird.
2. Verantwortlichkeiten zuordnen. Legen Sie für jede Dokumentenkategorie eine namentlich benannte Person fest, die für Beschaffung, Aktualität und Ablage zuständig ist, sowie eine Vertretung für Abwesenheiten.
3. Ablauf- und Prüftermine erfassen. Tragen Sie für jedes zeitlich befristete Dokument - Zertifikat, Kalibrierschein, Schulungsnachweis, Genehmigung - das Ablaufdatum und einen Vorlauf für die Erneuerung ein.
4. Zentralen Ablageort festlegen. Führen Sie alle Nachweise an einem Ort zusammen, auf den die zuständigen Personen Zugriff haben.
5. Regelmäßige Stichproben durchführen. Prüfen Sie quartalsweise stichprobenartig einzelne Nachweise auf Vollständigkeit und Aktualität, statt erst kurz vor dem Audit die gesamte Liste durchzugehen.
6. Simulationsdurchlauf vor dem Audit. Spielen Sie zwei bis drei Wochen vor dem Termin typische Auditfragen durch und prüfen Sie, ob die passenden Nachweise ohne Verzögerung auffindbar sind.

Interne und externe Audits: kleine Unterschiede in der Vorbereitung

Die Grundlogik bleibt bei internen Audits, Lieferantenaudits und externen Zertifizierungsaudits gleich, die Schwerpunkte verschieben sich jedoch. Bei einem internen Audit steht meist die Frage im Vordergrund, ob dokumentierte Prozesse tatsächlich gelebt werden. Bei einem Lieferantenaudit rückt zusätzlich in den Fokus, ob auch die Nachweise externer Partner vollständig vorliegen. Bei einem externen Zertifizierungs- oder Überwachungsaudit schließlich zählt vor allem die lückenlose Nachverfolgbarkeit über den gesamten Zertifizierungszeitraum, nicht nur der Stand am Audittag selbst.

Checkliste für die nächste Auditrunde

Wer diese Punkte nicht erst am Vorabend des Audits, sondern als festen Bestandteil des Quartalsrhythmus abarbeitet, verwandelt die Vorbereitung von einer Ausnahmesituation in eine Routineaufgabe. Der Unterschied liegt weniger im Umfang der Arbeit als in ihrem Zeitpunkt: Dieselben Nachweise über das Jahr verteilt zu pflegen, kostet insgesamt weniger Zeit, als sie zwei Wochen vor dem Termin unter Druck zusammenzusuchen.

Einen Überblick, wie sich Erinnerungen, Verantwortlichkeiten und Dokumentenerfassung für Audit-Nachweise in der Praxis abbilden lassen, zeigt die Funktionsübersicht von ExpiryEdge.

Die beschriebenen Schritte lassen sich mit Bordmitteln umsetzen, mit Disziplin, klaren Zuständigkeiten und regelmäßigen manuellen Kontrollen. Mit wachsender Zahl an Fristen wird genau diese Disziplin zum knappen Gut. Für Unternehmen, die diesen Prozess zentral organisieren möchten, kann eine Lösung wie ExpiryEdge sinnvoll sein, mit einem gemeinsamen Fristenregister, gestaffelten Erinnerungen und einer Historie, wer wann worauf reagiert hat.

Wie das konkret für unterschiedliche Teams aussieht, zeigen die Anwendungsfälle von ExpiryEdge. Aktuelle Pläne finden Sie auf der Preisseite.

Das ersetzt nicht die fachliche Bewertung einzelner Auditfragen. Es nimmt aber die Arbeit ab, die heute am häufigsten untergeht: rechtzeitig erinnern, nachfassen und dokumentieren, dass es passiert ist.

Quellen und weiterführende Informationen

• Bitkom e.V.: Mehrheit fordert Nachbesserung der DS-GVO (2025)
• Bitkom e.V.: Unternehmen ächzen weiter unterm Datenschutz (2025)
• Bitkom e.V.: 4 von 10 Unternehmen arbeiten überwiegend papierlos (Digital Office Index 2024) (2024)