Vom Einzelaudit zum Auditprogramm: Wie eine Mehrjahresplanung entsteht

Ein Auditprogramm ist die Gesamtheit aller Audits, die eine Organisation für einen festgelegten Zeitraum plant, zusammen mit den Zielen, den Verantwortlichkeiten, den Ressourcen und einer Bewertung der Risiken und Chancen des Programms selbst. Es liegt eine Ebene über dem einzelnen Audit: Das Programm entscheidet, welche Prozesse und Standorte über mehrere Jahre hinweg wie oft und mit welcher Methode geprüft werden. Der Auditplan regelt dagegen nur den Ablauf eines einzelnen Audits.

Warum ist eine Terminliste noch kein Auditprogramm?

Eine Terminliste kann auf eine Seite passen: zwölf Zeilen, zwölf Termine, jeder Bereich einmal im Jahr. Das wirkt vollständig, weil darin jeder Bereich aus dem Organigramm einmal vorkommt, etwa Wohnen, Tagesstruktur, Beratungsstelle, Verwaltung, Küche und Hauswirtschaft. Trotzdem beantwortet die Liste eine Frage nicht: warum ausgerechnet dieser Bereich jetzt geprüft wird und ein anderer nicht.

Diese Lücke ist kein böser Wille, sondern eine Folge der Form. Eine Terminliste zeigt nur, welcher Termin ansteht, nicht warum. Sie lässt sich deshalb kaum bewerten: Wer nur Termine führt, kann am Jahresende lediglich berichten, wie viele davon stattgefunden haben, nicht ob sie das Richtige geprüft haben.

Ein Auditprogramm setzt genau hier an, weil es mit einem Ziel beginnt statt mit einem Termin. Das klingt nach Begriffskosmetik, ist es aber nicht: Ein Ziel lässt sich am Jahresende überprüfen, ein abgehakter Termin nicht.

Diesen Unterschied beschreibt der internationale Leitfaden für Audits, die ISO 19011, seit diesem Jahr in einem eigenen Kapitel. Maßgeblich ist seit dem 27. Mai 2026 die vierte Ausgabe. Die deutsche Fassung mit 120 Seiten gilt seit September 2026 und ersetzt die Fassung von 2018, die damit zurückgezogen ist (DIN Media, 2026). Eine Übergangsfrist gibt es nicht, weil ein Leitfaden keine zertifizierbaren Anforderungen enthält, sondern nur beschreibt, wie ein Auditprogramm aussehen kann.

Wer verlangt ein Auditprogramm und wer nicht?

Ein Satz vorweg: Der Leitfaden selbst verlangt gar nichts. Er beschreibt nur, wie ein Auditprogramm aussehen kann. Verbindlich wird es erst durch andere Regelwerke und die unterscheiden sich je nach Feld. Wer nur die eigene Zertifizierungsnorm kennt, übersieht deshalb leicht die strengere Vorgabe des eigenen Sektors.

Für Organisationen, die nach ISO 9001 zertifiziert sind, steht die Pflicht in der Norm selbst. Ihr Abschnitt 9.2.2 a) verlangt, Auditprogramme zu planen, aufzubauen, zu verwirklichen und aufrechtzuerhalten. Maßgeblich dafür sind die Bedeutung der betroffenen Prozesse, Änderungen in der Organisation und die Ergebnisse früherer Audits. Buchstabe f) desselben Abschnitts verlangt außerdem, Programm und Ergebnisse schriftlich festzuhalten (ISO 9001:2015, Abschnitt 9.2.2).

In der Sozialen Arbeit und Pflege wird das noch konkreter, weil einzelne Sektoren eigene Fristen setzen. In der stationären medizinischen Rehabilitation, etwa einer Fachklinik für Suchtrehabilitation, gilt seit dem 1. Juli 2025 die neu gefasste Vereinbarung zum internen Qualitäts­management, herausgegeben von der Bundesarbeitsgemeinschaft für Rehabilitation, kurz BAR. Ihre Anforderung 5.4 verlangt einen schriftlichen Plan zur regelhaften Selbstprüfung der wesentlichen Prozesse, mindestens jährliche Überprüfungen unter Einbeziehung früherer Ergebnisse und dazu den Satz, den ich für die klarste deutsche Grundlage einer Mehrjahresplanung halte: „Die Dauer für die Überprüfung des gesamten QM-Systems überschreitet nicht den Zeitraum von drei Jahren.“ (BAR, 2025)

Bildungsträger, etwa Anbieter von Umschulungen oder Weiterbildungen für Arbeitsuchende, die nach der Akkreditierungs- und Zulassungsverordnung Arbeitsförderung, kurz AZAV, zugelassen sind, haben einen anderen Takt: Die fachkundige Stelle, die die Zulassung prüft, muss die wirksame Anwendung des Qualitäts­management­systems jährlich überprüfen. Seit der Fassung V02 der Empfehlungen des Beirats bei der Bundesagentur für Arbeit vom 17. Juni 2026 gilt zusätzlich, dass auch die Standorte „in das Management­system eingebunden und jederzeit überprüfbar sein“ müssen (Bundesagentur für Arbeit, 2026). Das betrifft vor allem temporäre Schulungsräume. Was die Standortkriterien im Einzelnen verlangen, beschreibt der Beitrag zu AZAV 2026 und digitalen Maßnahmen.

Auch außerhalb der Zertifizierung nach ISO 9001 gibt es solche Pflichten. In der Pflege folgt die Pflicht zum Qualitäts­management aus Paragraf 112 Absatz 2 SGB XI. Die externe Regelprüfung findet danach im Abstand von höchstens einem Jahr statt. Hat eine Einrichtung ein hohes Qualitätsniveau erreicht, soll die Prüfung höchstens alle zwei Jahre stattfinden, in vollstationären Einrichtungen seit 2023, in teilstationären und ambulanten ab 2027 (Paragrafen 114 Absatz 2 und 114c SGB XI). In der Eingliederungs­hilfe prüft der Kosten­träger, wenn tatsächliche Anhaltspunkte für eine Pflichtverletzung bestehen, sofern das Landesrecht nichts anderes bestimmt. Die Prüfung kann ohne Ankündigung stattfinden (Paragraf 128 Absätze 1 und 2 SGB IX). Auch das ist ein Grund, das eigene Auditprogramm nicht erst auf Zuruf, sondern vorausschauend zu pflegen.

Was ändert die neue ISO 19011 an der Programmebene?

Kapitel 5 der überarbeiteten Fassung ist deutlich feiner gegliedert als zuvor. Das erleichtert es, die einzelnen Bausteine eines Programms wiederzufinden:

• Ziele (5.2): was das Programm über den Zyklus erreichen soll,
• Risiken und Chancen (5.3): die Bewertung des Programms selbst,
• Festlegen (5.4): Rollen, Kompetenz der verantwortlichen Person, Umfang (5.4.3) und Ressourcen,
• Verwirklichung (5.5): die Durchführung der einzelnen Audits,
• Überwachung (5.6) sowie Überprüfung und Verbesserung (5.7).

Wer im eigenen Handbuch bislang nur pauschal auf „Kapitel 5“ verweist, findet mit dieser Gliederung leichter die passende Fundstelle für einzelne Bausteine des Programms. So lässt sich zum Beispiel sofort erkennen, ob die eigene Ressourcenplanung überhaupt existiert oder nur implizit im Kopf der Auditorin steckt.

Der risikobasierte Ansatz ist in der neuen Fassung außerdem als eigenes Prinzip geführt, in Abschnitt 4.8.

Zwei der Bausteine aus Kapitel 5 hat eine reine Terminliste nicht. Der erste ist 5.2, die Programmziele. Ein Ziel ist nicht „alle Prozesse prüfen“, sondern zum Beispiel: die Übergaben zwischen Tagdienst und Nachtdienst an allen Standorten belastbar machen. Der zweite ist 5.4.4, die Ressourcen. Ein Programm, das Auditorentage voraussetzt, statt sie zu budgetieren und freizustellen, gerät ins Stocken, sobald die interne Auditorin in ein Projekt abgezogen wird.

Auf derselben Ebene liegt auch die Wahl der Auditmethoden. Eine Videokonferenz, weil ein Termin platzt, ist deshalb keine Methodenwahl, sondern ein Ausfall mit Ersatzhandlung.

Programm und Plan sind nicht dasselbe

Leicht verwechselt werden genau diese beiden Ebenen. Das Programm entscheidet, was über Jahre geprüft wird, der Plan regelt, wie ein einzelnes Audit abläuft. Wie dieser Ablauf im Detail gegliedert ist, beschreibe ich im Leitfaden für interne Audits in sieben Phasen. Beide Ebenen brauchen deshalb eigene Dokumente, auch wenn sie sich inhaltlich aufeinander beziehen.

Gilt die externe Stichprobe auch für interne Audits?

Nein. Träger mit Außenwohngruppen, Beratungsstellen oder wechselnden Schulungsorten können leicht die Logik ihrer Zertifizierungs­stelle übernehmen. Die darf stichprobenhaft prüfen, sofern die Standorte sehr ähnliche Leistungen erbringen und eine zentrale Funktion mit Entscheidungsbefugnis besteht. Grundlage ist Global ACI-TECH-3-001, das verbindliche Dokument des internationalen Zusammenschlusses der Akkreditierungsstellen, bis August 2026 inhaltlich unverändert als IAF MD 1:2023 geführt. Demnach umfasst die Stichprobe beim Erstaudit die Quadratwurzel der Standortzahl, bei Überwachungsaudits das 0,6-Fache der Quadratwurzel pro Jahr.

Bei der Rezertifizierung gilt zunächst dieselbe Formel wie beim Erstaudit. Erst wenn sich das Management­system über den Zyklus als wirksam erwiesen hat, darf die Zertifizierungs­stelle die Stichprobe auf das 0,8-Fache reduzieren. Jeweils wird aufgerundet und mindestens 25 Prozent der Stichprobe müssen zufällig gewählt sein.

Für die Organisation selbst gilt nämlich das Gegenteil. Abschnitt 5.5 desselben Dokuments hält fest, dass alle Standorte dem internen Auditprogramm der Organisation unterliegen. Wer intern dieselbe Wurzelformel anwendet, hat nach drei Jahren Standorte, die nie jemand gesehen hat. Hinzu kommt ein Hebel: Bei der Auswahl der von ihr zu besuchenden Standorte berücksichtigt die Zertifizierungs­stelle auch die Ergebnisse der internen Audits (Abschnitt 6.1.2.4). Ein belastbares internes Programm wirkt sich damit auch auf den externen Prüfaufwand aus: Wer intern gründlich prüft, beeinflusst auch, welche Standorte die Zertifizierungs­stelle sich extern näher ansieht.

Der Zyklusverteiler

Was eine Risikoeinstufung für den Umfang eines Programms bedeutet, zeigt sich am schnellsten im Rechnen. Stufen Sie zehn typische Bereiche ein und geben Sie an, an wie vielen Standorten Leistungen erbracht werden. Der Verteiler zeigt sofort, wie sich das auf drei Jahre verteilt. In der Tabelle lassen sich einzelne Audits in ein anderes Jahr verschieben, die Matrix können Sie ausdrucken.

Sieben Schritte: So bauen Sie ein Auditprogramm auf

Für den Aufbau sind etwa zwei bis drei Arbeitstage einzuplanen. Die Reihenfolge entscheidet, ob am Ende ein Programm oder wieder eine Liste entsteht. Verantwortlich ist eine benannte Person, etwa die Qualitäts­management­beauftragte, auch wenn sie nicht alle Audits selbst durchführt. Sie trägt die Informationen aus den vorangegangenen Abschnitten in dieser Reihenfolge zusammen.

1. Formulieren Sie zuerst das Programmziel.Zwei bis vier Sätze, abgeleitet aus den Qualitätszielen und aus dem, was im letzten Zyklus schiefgegangen ist. Erst danach öffnen Sie den Kalender. Ein Ziel, das sich am Jahresende nicht bewerten lässt, ist noch keins.

2. Bewerten Sie die Risiken des Programms selbst.Nicht die der Prozesse, sondern die des Programms: Ausfall der einzigen internen Auditorin, fehlende Unabhängigkeit, Termine, die immer zuerst gestrichen werden. Zu jedem Risiko gehört eine Vorkehrung, sonst ist die Bewertung Dekoration.

3. Legen Sie den Umfang als Matrix fest.Prozess mal Standort mal Jahr, in einer Tabelle, die man ausdrucken kann. Diese Matrix ist der Nachweis der Abdeckung und im externen Audit in dreißig Sekunden vorzeigbar.

4. Hinterlegen Sie die Ressourcen verbindlich.Auditorentage einschließlich Vorbereitung und Bericht, schriftlich freigegeben von der Leitung. Als Größenordnung: Für ein externes Überwachungsaudit in einer Reha-Einrichtung mit 100 Behandlungsplätzen setzt die BAR-Vereinbarung einen Personentag vor Ort plus 0,75 Personentage Vor- und Nachbereitung an.

5. Entscheiden Sie die Methoden vorab.Legen Sie je Bereich fest, ob vor Ort, remote oder hybrid geprüft wird und zu welcher Tageszeit. Ohne diese Festlegung geraten Nachtdienst, Wochenende, Bereitschaft und Ferienzeiten leicht aus dem Blick, obwohl dort die kritischen Übergänge liegen.

6. Legen Sie die externen Termine daneben.Überwachungsaudit, jährliche Überprüfung durch die fachkundige Stelle im AZAV-Bereich, Regelprüfung nach Paragraf 114 Absatz 2 SGB XI. Ziel ist die Entzerrung: kein Quartal mit vier Prüfungen und keins mit gar nichts.

7. Überprüfen Sie das Programm jährlich.Am besten vor der Management­bewertung: Wurden die Programmziele erreicht? Welche Audits sind ausgefallen und warum? Wann werden sie nachgeholt? Ein dokumentierter Ausfall mit Nachholtermin gehört zu einem funktionierenden Programm. Ein unbemerkter Ausfall nicht.

Wer diese sieben Schritte einmal durchläuft, muss sie in den Folgejahren nur noch aktualisieren, nicht neu erfinden.

Was ist noch offen?

Drei Punkte sollte man auseinanderhalten. Erstens ist die ISO 9001:2026 am 16. September erschienen. Die deutsche Fassung DIN EN ISO 9001:2026-11 (Ausgabe November 2026) ist seit Oktober 2026 bestellbar. Zertifiziert wird bis auf Weiteres nach ISO 9001:2015.

Die Übergangsfrist ist verbindlich festgelegt (Global ACI-TECH-3-TR 2029-09-30, ausgegeben am 4. September 2026): Zertifikate nach ISO 9001:2015 gelten längstens bis zum 30. September 2029. Bis dahin muss die Umstellung in einem Überwachungs-, Rezertifizierungs- oder eigenen Umstellungsaudit bestätigt sein. Erstzertifizierungen werden nach dem 31. März 2028 nur noch nach ISO 9001:2026 erteilt. Was die neue Fassung für die Umstellung im Einzelnen bedeutet, beschreibe ich im Fahrplan zur ISO 9001:2026.

Zweitens zitiere ich bewusst aus der Ausgabe 2015. Das Inhaltsverzeichnis der deutschen Fassung bei DIN Media zeigt, dass das interne Audit auch in der Fassung 2026 unter 9.2 steht. Abschnitt 9.2.2 heißt dort „Internes Auditprogramm“. Den Normtext selbst habe ich dafür nicht herangezogen. Wer Verfahrens­anweisungen mit den Kapitelnummern der neuen Fassung umschreibt, sollte die Nummern am Normtext prüfen.

Drittens bleibt die ISO 19011 ein Leitfaden. Sie beschreibt gut, wie ein Auditprogramm entsteht, verpflichtend ist es deshalb nicht. Diese Unterscheidung kostet im Gespräch mit der Geschäfts­führung eine Minute und spart später eine Grundsatzdiskussion. Wer diese Unsicherheiten offen benennt, verliert dabei keine Glaubwürdigkeit, sondern gewinnt sie.

Was in den nächsten Wochen zu tun ist

Wenn Ihr nächstes Überwachungsaudit noch aussteht, würde ich eine einzige Tabelle anlegen: jede Leistungseinheit und jeder Standort eine Zeile, die letzten drei Jahre je eine Spalte. Tragen Sie ein, was tatsächlich auditiert wurde, nicht was geplant war. Die leeren Zeilen sind Ihr Programm für den nächsten Zyklus. Die Normumstellung gehört als eigenes Programmziel dazu, weil sie genau einen Zyklus dauert. Einmal angelegt, aktualisieren Sie diese Tabelle danach nur noch, statt sie jedes Jahr neu zu erstellen.

Ein Programm, das so entsteht, zeigt nicht nur Lücken. Es zeigt auch, an welcher Stelle die Einrichtung längst mehr prüft, als jede Norm verlangt.

Häufige Fragen

Zum Weiterlesen

• Internes Audit im Sozialwesen: Von der Pflichtübung zum echten SteuerungsinstrumentDie Grundlage zum Auditprogramm: wie ein einzelnes internes Audit abläuft und wodurch es wirksam wird.
• Leistung: Internes AuditWo einem Bereich die Unabhängigkeit für das eigene Audit fehlt, lässt sich das interne Audit als Projekt beauftragen.

Quellen

1. DIN Media (2026): DIN EN ISO 19011:2026-09, 120 Seiten, ersetzt DIN EN ISO 19011:2018-10. dinmedia.de
2. SIST / CEN (2026): EN ISO 19011:2026, Normvorschau mit Inhaltsverzeichnis, Abschnitt 4.8 und Kapitel 5. Normvorschau als PDF
3. Austrian Standards International (2026): ISO 19011:2026, vierte Ausgabe vom 27.05.2026. austrian-standards.at
4. Carl Hanser Verlag: Leitfaden zur ISO 9001:2015, Normkapitel 9, Abschnitt 9.2.2. Leitfaden als PDF
5. DIN Media (2026): Revision der ISO 9001, Themenseite: Veröffentlichung 16.09.2026, deutsche Fassung DIN EN ISO 9001:2026-11 bestellbar seit Oktober 2026, Umstellung bis 30.09.2029, abgerufen am 03.11.2026. dinmedia.de
6. DIN Media (2026): DIN EN ISO 9001:2026-11, Qualitäts­management­systeme, Anforderungen, Produktseite mit Ausgabedatum 2026-11, abgerufen am 03.11.2026. dinmedia.de
7. DIN Media (2026): DIN EN ISO 9001:2026-11, Inhaltsverzeichnis (D/E) mit den Abschnitten 9.2 Internes Audit, 9.2.1 Allgemeines und 9.2.2 Internes Auditprogramm, abgerufen am 03.11.2026. Inhaltsverzeichnis als PDF
8. International Accreditation Service (2015): ISO/IEC 17021-1:2015, Abschnitt 9. iasonline.org
9. Global Accreditation Cooperation Incorporated (2026): Global ACI-TECH-3-001 (M), Version 1.0, Ausgabe 10.07.2026, anzuwenden ab 28.08.2026, Abschnitte 5.5 und 6.1. sys.global-aci.org (PDF)
10. Global Accreditation Cooperation Incorporated (2026): Transition Requirements for ISO 9001:2026, Global ACI-TECH-3-TR 2029-09-30 (M), Ausgabe 04.09.2026. sys.global-aci.org (PDF)
11. International Accreditation Forum (2023): IAF MD 1:2023 Issue 3, Vorgängerdokument, Abschnitte 5.5 und 6.1.2.4. IAF MD 1 als PDF
12. International Accreditation Forum (2026): Start der Global Accreditation Cooperation zum 01.01.2026. iaf.nu
13. Bundesarbeitsgemeinschaft für Rehabilitation, BAR (2025): Vereinbarung nach Paragraf 37 Abs. 3 SGB IX, Anforderung 5.4 und Paragraf 6. qs-reha.de
14. Bundesagentur für Arbeit (2026): Empfehlungen des Beirats nach Paragraf 182 SGB III, Stand 17.06.2026. arbeitsagentur.de
15. Akkreditierungs- und Zulassungsverordnung Arbeitsförderung, AZAV, Paragrafen 2 und 5. gesetze-im-internet.de
16. SGB XI, Paragrafen 112, 113, 114 und 114c. gesetze-im-internet.de
17. GKV-Spitzenverband u. a. (2025): Maßstäbe und Grundsätze für die Qualität und Qualitäts­sicherung sowie für die Entwicklung eines einrichtungsinternen Qualitäts­managements nach Paragraf 113 SGB XI in der ambulanten Pflege, Teil 1a Nummer 1.3, Fassung vom 28.04.2025. vdek.com
18. SGB IX, Paragraf 128. gesetze-im-internet.de

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich