Vom Einzelaudit zum Auditprogramm: Wie eine Mehrjahresplanung entsteht

Der typische Auditplan eines Trägers passt auf eine Seite: zwölf Zeilen, zwölf Termine, jeder Bereich einmal im Jahr. Das wirkt vollständig, weil darin jeder Bereich aus dem Organigramm einmal vorkommt, etwa Wohnen, Tagesstruktur, Beratungsstelle, Verwaltung, Küche und Hauswirtschaft. Trotzdem beantwortet die Liste eine Frage nicht: warum ausgerechnet dieser Bereich jetzt geprüft wird und ein anderer nicht.

Diese Lücke ist kein böser Wille, sondern eine Folge der Form. Eine Terminliste zeigt nur, welcher Termin ansteht, nicht warum. Sie lässt sich deshalb kaum bewerten: Wer nur Termine führt, kann am Jahresende lediglich berichten, wie viele davon stattgefunden haben, nicht ob sie das Richtige geprüft haben.

Ein Auditprogramm setzt genau hier an, weil es mit einem Ziel beginnt statt mit einem Termin. Das klingt nach Begriffskosmetik, ist es aber nicht: Ein Ziel lässt sich am Jahresende überprüfen, ein abgehakter Termin nicht.

Diesen Unterschied beschreibt der internationale Leitfaden für Audits, die ISO 19011, seit diesem Jahr in einem eigenen Kapitel. Maßgeblich ist seit dem 27. Mai 2026 die vierte Ausgabe. Die deutsche Fassung mit 120 Seiten gilt seit September 2026 und ersetzt die Fassung von 2018, die damit zurückgezogen ist (DIN Media, 2026). Eine Übergangsfrist gibt es nicht, weil ein Leitfaden keine zertifizierbaren Anforderungen enthält, sondern nur beschreibt, wie ein Auditprogramm aussehen kann.

Ein Satz vorweg, weil er in Fortbildungen regelmäßig falsch fällt: Der Leitfaden selbst verlangt gar nichts. Er beschreibt nur, wie ein Auditprogramm aussehen kann. Verbindlich wird es erst durch andere Regelwerke, und die unterscheiden sich je nach Feld. Wer nur die eigene Zertifizierungsnorm kennt, übersieht deshalb leicht die strengere Vorgabe des eigenen Sektors.

Für zertifizierte Organisationen steht die Pflicht in der Norm ISO 9001, nach der die meisten Einrichtungen im Sozialwesen zertifiziert sind. Ihr Abschnitt 9.2.2 a) verlangt, Auditprogramme zu planen, aufzubauen, zu verwirklichen und aufrechtzuerhalten. Maßgeblich dafür sind die Bedeutung der betroffenen Prozesse, Änderungen in der Organisation und die Ergebnisse früherer Audits. Buchstabe f) desselben Abschnitts verlangt außerdem, Programm und Ergebnisse schriftlich festzuhalten (ISO 9001:2015, Abschnitt 9.2.2).

In der Sozialen Arbeit und Pflege wird das noch konkreter, weil einzelne Sektoren eigene Fristen setzen. In der stationären medizinischen Rehabilitation, etwa einer Reha-Klinik nach einem Schlaganfall oder einer Operation, gilt seit dem 1. Juli 2025 die neu gefasste Vereinbarung zum internen Qualitätsmanagement, herausgegeben von der Bundesarbeitsgemeinschaft für Rehabilitation, kurz BAR. Ihre Anforderung 5.4 verlangt einen schriftlichen Plan zur regelhaften Selbstprüfung der wesentlichen Prozesse, mindestens jährliche Überprüfungen unter Einbeziehung früherer Ergebnisse und dazu den Satz, den ich für die klarste deutsche Grundlage einer Mehrjahresplanung halte: „Die Dauer für die Überprüfung des gesamten QM-Systems überschreitet nicht den Zeitraum von drei Jahren." (BAR, 2025)

Bildungsträger, etwa Anbieter von Umschulungen oder Weiterbildungen für Arbeitsuchende, die nach der Akkreditierungs- und Zulassungsverordnung Arbeitsförderung, kurz AZAV, zugelassen sind, haben einen anderen Takt: Die fachkundige Stelle, die die Zulassung prüft, muss die wirksame Anwendung des Qualitätsmanagementsystems jährlich überprüfen. Seit der Fassung V02 vom 17. Juni 2026 gilt zusätzlich, dass auch die Standorte „in das Managementsystem eingebunden und jederzeit überprüfbar sein" müssen (Bundesagentur für Arbeit, 2026). Das betrifft vor allem temporäre Schulungsräume. Was die Standortkriterien im Einzelnen verlangen, beschreibt der Beitrag zu AZAV 2026 und digitalen Maßnahmen.

Auch außerhalb der Zertifizierung nach ISO 9001 gibt es solche Pflichten. In der Pflege folgt die Pflicht zum Qualitätsmanagement aus Paragraf 112 Absatz 2 SGB XI. Die externe Regelprüfung findet danach im Abstand von höchstens einem Jahr statt (Paragraf 114 Absatz 2 SGB XI). In der Eingliederungshilfe kann der Kostenträger die Prüfung ohne Ankündigung durchführen (Paragraf 128 Absatz 2 SGB IX). Auch das ist ein Grund, das eigene Auditprogramm nicht erst auf Zuruf, sondern vorausschauend zu pflegen.

Kapitel 5 der überarbeiteten Fassung ist deutlich feiner gegliedert als zuvor. Das erleichtert es, die einzelnen Bausteine eines Programms wiederzufinden:

• Ziele (5.2): was das Programm über den Zyklus erreichen soll,
• Risiken und Chancen (5.3): die Bewertung des Programms selbst,
• Festlegen (5.4): Rollen, Kompetenz der verantwortlichen Person, Umfang (5.4.3) und Ressourcen,
• Verwirklichung (5.5): die Durchführung der einzelnen Audits,
• Überwachung (5.6) sowie Überprüfung und Verbesserung (5.7).

Wer im eigenen Handbuch bislang nur pauschal auf „Kapitel 5" verweist, findet mit dieser Gliederung leichter die passende Fundstelle für einzelne Bausteine des Programms. So lässt sich zum Beispiel sofort erkennen, ob die eigene Ressourcenplanung überhaupt existiert oder nur implizit im Kopf der Auditorin steckt.

Der risikobasierte Ansatz ist in der neuen Fassung außerdem als eigenes Prinzip geführt, in Abschnitt 4.8.

Zwei dieser Abschnitte fehlen in der Praxis fast immer. Der erste ist 5.2, die Programmziele. Ein Ziel ist nicht „alle Prozesse prüfen", sondern zum Beispiel: die Übergaben zwischen Tagdienst und Nachtdienst an allen Standorten belastbar machen. Der zweite ist 5.4.4, die Ressourcen. Ein Programm, das Auditorentage voraussetzt, statt sie zu budgetieren und freizustellen, bricht im zweiten Jahr zusammen, sobald die interne Auditorin in ein Projekt abgezogen wird.

Auf derselben Ebene liegt auch die Wahl der Auditmethoden. Eine Videokonferenz, weil ein Termin platzt, ist deshalb keine Methodenwahl, sondern ein Ausfall mit Ersatzhandlung.

Programm und Plan sind nicht dasselbe

Die häufigste Verwechslung im Alltag betrifft genau diese beiden Ebenen. Das Programm entscheidet, was über Jahre geprüft wird, der Plan regelt, wie ein einzelnes Audit abläuft. Wie dieser Ablauf im Detail gegliedert ist, beschreibe ich im Leitfaden für interne Audits in sieben Phasen. Beide Ebenen brauchen deshalb eigene Dokumente, auch wenn sie sich inhaltlich aufeinander beziehen.

Nein, und dieser Unterschied wird häufig übersehen. Träger mit Außenwohngruppen, Beratungsstellen oder wechselnden Schulungsorten übernehmen oft unbewusst die Logik ihrer Zertifizierungsstelle. Die darf nämlich stichprobenhaft prüfen: Nach IAF MD 1:2023, einem verbindlichen Dokument des internationalen Dachverbands der Akkreditierungsstellen, gültig seit dem 18. Oktober 2023, umfasst ihre Stichprobe beim Erstaudit die Quadratwurzel der Standortzahl, bei Überwachungsaudits das 0,6-Fache der Quadratwurzel pro Jahr.

Bei der Rezertifizierung gilt zunächst dieselbe Formel wie beim Erstaudit. Erst wenn sich das Managementsystem über den Zyklus als wirksam erwiesen hat, darf die Zertifizierungsstelle die Stichprobe auf das 0,8-Fache reduzieren. Jeweils wird aufgerundet, und mindestens 25 Prozent der Stichprobe müssen zufällig gewählt sein.

Für die Organisation selbst gilt nämlich das Gegenteil. Abschnitt 5.5 desselben Dokuments hält fest, dass alle Standorte dem internen Auditprogramm der Organisation unterliegen. Wer intern dieselbe Wurzelformel anwendet, hat nach drei Jahren Standorte, die nie jemand gesehen hat. Hinzu kommt ein Hebel, den viele übersehen: Bei der Auswahl der von ihr zu besuchenden Standorte berücksichtigt die Zertifizierungsstelle auch die Ergebnisse der internen Audits (Abschnitt 6.1.2.4). Ein belastbares internes Programm wirkt sich damit auch auf den externen Prüfaufwand aus: Wer intern gründlich prüft, beeinflusst auch, welche Standorte die Zertifizierungsstelle sich extern näher ansieht.

Was eine Risikoeinstufung für den Umfang eines Programms bedeutet, zeigt sich am schnellsten im Rechnen. Stufen Sie zehn typische Bereiche ein und geben Sie an, an wie vielen Standorten Leistungen erbracht werden. Der Verteiler zeigt sofort, wie sich das auf drei Jahre verteilt.

Der Aufbau kostet zwei bis drei Arbeitstage. Die Reihenfolge entscheidet, ob am Ende ein Programm oder wieder eine Liste entsteht. Verantwortlich ist meist eine einzelne Person, häufig die Qualitätsmanagementbeauftragte, auch wenn sie nicht alle Audits selbst durchführt. Sie trägt die Informationen aus den vorangegangenen Abschnitten in dieser Reihenfolge zusammen.

1. Formulieren Sie zuerst das Programmziel.Zwei bis vier Sätze, abgeleitet aus den Qualitätszielen und aus dem, was im letzten Zyklus schiefgegangen ist. Erst danach öffnen Sie den Kalender. Ein Ziel, das sich am Jahresende nicht bewerten lässt, ist noch keins.
2. Bewerten Sie die Risiken des Programms selbst.Nicht die der Prozesse, sondern die des Programms: Ausfall der einzigen internen Auditorin, fehlende Unabhängigkeit, Termine, die immer zuerst gestrichen werden. Zu jedem Risiko gehört eine Vorkehrung, sonst ist die Bewertung Dekoration.
3. Legen Sie den Umfang als Matrix fest.Prozess mal Standort mal Jahr, in einer Tabelle, die man ausdrucken kann. Diese Matrix ist der Nachweis der Abdeckung und im externen Audit in dreißig Sekunden vorzeigbar.
4. Hinterlegen Sie die Ressourcen verbindlich.Auditorentage einschließlich Vorbereitung und Bericht, schriftlich freigegeben von der Leitung. Als Größenordnung: Für ein externes Überwachungsaudit in einer Reha-Einrichtung mit 100 Behandlungsplätzen setzt die BAR-Vereinbarung einen Personentag vor Ort plus 0,75 Personentage Vor- und Nachbereitung an.
5. Entscheiden Sie die Methoden vorab.Je Bereich vor Ort, remote oder hybrid, und dazu die Tageszeit. Nachtdienst, Wochenende, Bereitschaft und Ferienzeiten tauchen in vielen Programmen nie auf, obwohl dort die kritischen Übergänge liegen.
6. Legen Sie die externen Termine daneben.Überwachungsaudit, jährliche Überprüfung durch die fachkundige Stelle im AZAV-Bereich, Regelprüfung nach Paragraf 114 Absatz 2 SGB XI. Ziel ist die Entzerrung: kein Quartal mit vier Prüfungen und keins mit gar nichts.
7. Überprüfen Sie das Programm jährlich.Am besten vor der Managementbewertung: Wurden die Programmziele erreicht? Welche Audits sind ausgefallen, warum, und wann werden sie nachgeholt? Ein dokumentierter Ausfall mit Nachholtermin gehört zu einem funktionierenden Programm. Ein unbemerkter Ausfall nicht.

Wer diese sieben Schritte einmal durchläuft, muss sie in den Folgejahren nur noch aktualisieren, nicht neu erfinden.

Drei Punkte sollte man im September 2026 nicht glätten. Erstens ist die ISO 9001:2026 am 16. September erschienen, also vor zwei Tagen. Die deutsche Fassung wird für November 2026 erwartet, zertifiziert wird in der Praxis weiter nach ISO 9001:2015. Die kursierende Umstellungsfrist bis zum 30. September 2029 nennt DIN Media, ein einsehbarer Beschluss der Akkreditierungsorganisation liegt mir nicht vor. Diese Organisation entscheidet international, welche Übergangsfristen für zertifizierte Betriebe gelten. Da das IAF solche Fristen bislang per Resolution gesetzt hat und seinen Betrieb eingestellt hat, würde ich das Datum als erwartete Frist behandeln und mir von der eigenen Zertifizierungsstelle bestätigen lassen, was gilt. Was die neue Fassung für die Umstellung im Einzelnen bedeutet, beschreibe ich im Fahrplan zur ISO 9001:2026.

Zweitens zitiere ich bewusst aus der Ausgabe 2015. Dass das interne Audit auch in der Fassung 2026 unter 9.2 steht, entnehme ich Sekundärquellen, nicht dem Normtext. Wer jetzt Verfahrensanweisungen mit den Kapitelnummern der neuen Fassung umschreibt, arbeitet auf Verdacht.

Drittens bleibt die ISO 19011 ein Leitfaden. Sie beschreibt gut, wie ein Auditprogramm entsteht, verpflichtend ist es deshalb nicht. Diese Unterscheidung kostet im Gespräch mit der Geschäftsführung eine Minute und spart später eine Grundsatzdiskussion. Wer diese Unsicherheiten offen benennt, verliert dabei keine Glaubwürdigkeit, sondern gewinnt sie.

Wenn Ihr nächstes Überwachungsaudit noch aussteht, würde ich eine einzige Tabelle anlegen: jede Leistungseinheit und jeder Standort eine Zeile, die letzten drei Jahre je eine Spalte. Tragen Sie ein, was tatsächlich auditiert wurde, nicht was geplant war. Die leeren Zeilen sind Ihr Programm für den nächsten Zyklus. Die Normumstellung gehört als eigenes Programmziel dazu, weil sie genau einen Zyklus dauert. Einmal angelegt, aktualisieren Sie diese Tabelle danach nur noch, statt sie jedes Jahr neu zu erstellen.

Ein Programm, das so entsteht, zeigt nicht nur Lücken. Es zeigt auch, an welcher Stelle die Einrichtung längst mehr prüft, als jede Norm verlangt.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen.