Q6 Internes Auditprogramm

Für: IA, EA
Quelle: 9.2 von ISO 9001:2026, ISO 14001:2026, ISO 45001:2018, ISO/IEC 27001:2022 und ISO/IEC 42001:2023, einschließlich der Hinweise in den Anhängen, wo die Ausgabe einen Anhang hat.

Das interne Audit ist das Audit der Organisation oder einer externen Seite in ihrem Auftrag. Es ist nicht das Zertifizierungsaudit. Was ein Zertifizierungsaudit ist, steht in Q9. ISO 19011 wird in den Anmerkungen genannt und liegt nicht vor.

Alle fünf verlangen interne Audits in geplanten Abständen, ein Programm oder mehrere Programme mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung, die Auswahl der Auditoren so, dass Objektivität und Unparteilichkeit sichergestellt sind, und die Berichterstattung an die relevante Leitung. Ab dort trennen sich die Sätze.

ISO 9001:2026. Beim Aufbau des Programms muss die Organisation die Bedeutung der betreffenden Prozesse, die Ergebnisse früherer Audits und Änderungen berücksichtigen, die die Organisation beeinflussen. Für jedes Audit muss sie Ziele, Kriterien und Umfang festlegen. Sie muss geeignete Korrekturen und Korrekturmaßnahmen ohne unangemessene Verzögerung ergreifen. „Without undue delay“. Eine Frist in Tagen nennt 9.2.2 nicht. „Correction“ ist in Abschnitt 3 nicht definiert. Korrekturmaßnahme ist 3.17. Anmerkung 5 zu 3.18 sagt, Unabhängigkeit könne durch Freiheit von der Verantwortung für die auditierte Tätigkeit gezeigt werden. „Can“. A.9.2 sagt als Hinweis, das interne Audit werde auf alle Prozesse im System angewendet. Die Forderung ist 9.2. Dokumentierte Information muss als Nachweis der Verwirklichung des Programms und der Auditergebnisse verfügbar sein. Die Ausführung steht in 9001-23.

ISO 14001:2026. 9.2.2 verlangt, ein oder mehrere interne Auditprogramme aufzubauen, zu verwirklichen und aufrechtzuerhalten. Das Verb „plan“, das ISO 9001, ISO 45001, ISO/IEC 27001 und ISO/IEC 42001 in diesem Satz führen, steht in diesem Satz von ISO 14001 nicht. Beim Aufbau muss die Organisation die Umweltbedeutung der betreffenden Prozesse, Änderungen, die die Organisation beeinflussen, und die Ergebnisse früherer Audits berücksichtigen. „Consider“ lässt nach A.3 zu, ein Thema nach dem Bedenken auszuschließen. Für jedes Audit muss sie Ziele, Kriterien und Umfang festlegen. Eine Frist für Korrekturmaßnahmen steht in 9.2.2 nicht. A.9.2 sagt als Hinweis, Auditoren sollten von der auditierten Tätigkeit unabhängig sein, wo das durchführbar ist. „Should“. Die Anforderung bleibt Objektivität und Unparteilichkeit. Verfügbar sein müssen das Auditprogramm oder die Auditprogramme, der Nachweis der Verwirklichung und der Nachweis der Auditergebnisse. Die Ausführung steht in 14001-16.

ISO 45001:2018. 9.2.2 a verlangt, Programme zu planen, aufzubauen, zu verwirklichen und aufrechtzuerhalten, einschließlich der Konsultation. Der englische Satz fährt fort mit „which shall take into consideration the importance of the processes concerned and the results of previous audits“. Das ist ein „shall“. A.3 erläutert „consider“ und „take into account“. Diese Wendung setzt A.3 nicht mit einem der beiden Wörter gleich. Änderungen nennt dieser Satz nicht. 9.2.2 b verlangt für jedes Audit Kriterien und Umfang. Auditziele nennt 9.2.2 b nicht. Die Ergebnisse müssen den zuständigen Führungskräften berichtet werden. Relevante Auditergebnisse müssen den Beschäftigten, wo vorhanden ihren Vertretern, und den anderen relevanten interessierten Parteien berichtet werden. Die Organisation muss Maßnahmen ergreifen, um Nichtkonformitäten zu behandeln und die SGA-Leistung fortlaufend zu verbessern, mit Verweis auf Abschnitt 10. A.9.2 sagt als Anleitung, Objektivität könne durch Entkoppeln der Auditorenrolle oder durch externe Personen geschaffen werden. „Should“ und „can“. 5.4 d 8 legt den Schwerpunkt der Konsultation nicht leitender Beschäftigter auf das Auditprogramm. Aufzubewahren ist dokumentierte Information als Nachweis der Verwirklichung des Programms und der Auditergebnisse. Die Ausführung steht in 45001-15.

ISO/IEC 27001:2022. Beim Einrichten muss die Organisation die Bedeutung der betreffenden Prozesse und die Ergebnisse früherer Audits berücksichtigen. Änderungen nennt 9.2.2 in dieser PDF nicht. 9.2.2 a verlangt für jedes Audit die Auditkriterien und den Auditumfang. Auditziele nennt 9.2.2 a nicht. Einen Satz über Korrekturen ohne unangemessene Verzögerung enthält 9.2 nicht. Dokumentierte Information muss als Nachweis der Verwirklichung des Programms und der Auditergebnisse verfügbar sein. Die Ausführung steht in 27001-10.

ISO/IEC 42001:2023. Beim Einrichten muss die Organisation die Bedeutung der betroffenen Prozesse und die Ergebnisse vorheriger Audits berücksichtigen. Für jedes Audit müssen Auditziele, Kriterien und Umfang festgelegt werden. Eine Pflicht, die Ergebnisse den Beschäftigten oder deren Vertretern zu berichten, steht in 9.2 nicht. Dokumentierte Information muss als Nachweis der Verwirklichung des Programms und der Auditergebnisse verfügbar sein. Die Ausführung steht in 42001-10.

Nicht in diesem Text: das Auditprogramm einer Zertifizierungsstelle, Auditzeit, und eine Checkliste der Abschnitte 4 bis 10 als Ersatz für Kriterien und Umfang. Die Eingaben der Managementbewertung stehen in Q7.