Zertifizierung: Vorteile und Nachteile von Remote-Audits

Auch wenn die ISO 9001 in der neusten Fassung den risiko- und chancenbasierten Ansatz fordert, so denke ich doch, dass so gut wie kein Unternehmen bei der Risikobetrachtung eine Pandemie mit einem mehrwöchigen oder -monatigen Betriebsstillstand betrachtet hat. Und dafür finde ich es dann bemerkenswert, wie viele Unternehmen reagiert haben und wieviel möglich ist, wenn es dann auf einmal nötig sein sollte. Als Beispiel seien dafür die vielen, vielen Mitarbeiter genannt, die von heute auf morgen einen Großteil ihrer Arbeit im Homeoffice erledigen mussten oder müssen und die dies vor gewaltige Herausforderungen gestellt hat.

Auch viele Audits werden zwischenzeitlich vom Homeoffice aus durchgeführt bzw. remote und somit ohne, dass der Auditor vor Ort ist. In einer absoluten Sondersituation wie es diese aktuell ist, ist dies sicher eine Möglichkeit den Betrieb diesbezüglich zwischenzeitlich aufrechtzuerhalten. Warum aber ein remote Audit nie ein Audit vor Ort ersetzen wird und warum ich davon ausgehe, dass Systemaudits – zum Beispiel bezüglich eines Qualitätsmanagementsystem nach ISO 9001 – in Zukunft wieder vor Ort durchgeführt werden, möchte ich anhand einiger Beispiel erläutern.

Stichprobencharakter

Ein Audit zeichnet in der Regel aus, dass der Auditor eine Frage stellt, die zu auditierende Person die Frage beantwortet oder daraufhin eine Tatsachenbehauptung aufstellt und diese Behauptung mit einem so genannten objektiven Nachweis untermauert. Diesen objektiven Nachweis nimmt der Auditor in sein Auditprotokoll auf und der objektive Nachweis ist somit ein gravierender Bestandteil des Auditergebnisses. In einem Remote-Audit liegt die Auswahl des objektiven Nachweises einzig und allein bei der zu auditierenden Person, die diesen entweder in die Kamera hält oder auf andere Art und Weise zur Verfügung stellt. Der Stichprobencharakter wird damit ad absurdum geführt, weil die auditierte Person die Stichprobe vorgibt und somit in der Lage ist, die Situation so darzustellen, wie sie es gerne hätte.

Bewusstsein

Ich bin selbst oft genug als interner Auditor unterwegs und habe so meine eigenen Techniken entwickelt, um bestimmte Normpunkte zu prüfen. Zum Beispiel gibt die ISO 9001 vor, dass das Bewusstsein der Mitarbeiter bzgl. Qualitätsmanagement und einige anderen Punkten geschaffen werden muss. Da habe ich mir angewöhnt, teilweise auch Mitarbeiter die nicht als Teilnehmer auf der Auditliste stehen, nebenbei anzusprechen und diese beispielsweise zu fragen, was sie vom Qualitätsmanagementsystem mitbekommen, wie ihre Arbeit dadurch beeinflusst ist oder wann sie zum letzten Mal Informationen vom Qualitätsmanagementbeauftragten erhalten haben. Sobald ein Audit remote stattfindet, können dann aber nur die Mitarbeiter gefragt werden, die auf der anderen Seite vor der Kamera sitzen. Eine zufällige Auswahl von unbefangen und unvorbereiteten Mitarbeitern ist somit nicht möglich.

Remote kann kein Rundgang stattfinden

Für mich persönlich und sicherlich für viele andere Auditorenkollegen ist der Rundgang durch ein Unternehmen und die Begehung der Prozesse ein wesentlicher Bestandteil eines Audits. Einen Prozess kann ich nur dann abschließend beurteilen, wenn ich diesen wirklich real gesehen habe und nicht nur erklärt und mit zwei bis drei Dokumenten untermauert bekomme habe.

Und auch für alle viele andere Punkte ist sicherlich ein Rundgang nicht das verkehrteste. Ich persönlich erinnere mich in diesem Zusammenhang spontan an zwei Vorkommnisse der letzten Jahre:

1. In einem mittelgroßen Handelsunternehmen ist mir beim Rundgang aufgefallen, dass am schwarzen Brett die Bilder und kurze Zuständigkeitsbeschreibungen zum Beispiel für die Fachkraft für Arbeitssicherheit, den Datenschutzbeauftragten und den bzw. die Ersthelfer aushingen. Der Qualitätsmanagementbeauftragte fehlte in dieser Galerie. Dies war ein Punkt, den ich im Abschlussgespräch bei der obersten Leitung anbrachte – gerade auch, weil der Qualitätsmanagementbeauftragte im Audit die fehlende Akzeptanz erwähnte, die ihm von vielen Kollegen entgegengebracht wurde. Dieser Zustand wäre mir sicherlich bei einem Remote-Audit nicht aufgefallen.
2. Bei einem kleineren Unternehmen ist es mir neulich passiert, dass bei dem Rundgang aufgefallen ist, dass im Serverraum die beiden Feuerlöscher nicht geprüft waren. Ganz im Gegensatz zu allen anderen Feuerlöschern in dem Unternehmen, die auf aktuellem Stand waren. Dies wäre mir mit größter Wahrscheinlichkeit im Remote-Audit nicht aufgefallen. Denn hätte ich hier nach den Feuerlöschern gefragt und ein Protokoll bzw. die Rechnung über die Feuerlöschprüfung wäre vorgelegt worden, so hätte ich diesen Punkt abgehakt.

Datenschutz beim Remote-Audit

Es gibt zahlreiche technische Möglichkeiten, wie ein Remote-Audit absolviert werden kann. Darauf kann ich an dieser Stelle nicht näher eingehen, denn damit allein könnte man einen Blogbeitrag mehr als füllen. Aber eins haben alle technischen Möglichkeiten gemeinsam – es werden sensible Daten fernmündlich sowie schriftlich ausgetauscht. Und vielleicht nicht alle, aber viele dieser technischen Möglichkeiten sind nicht unbedingt Vorreiter, was das Thema Datenschutz und Datensicherheit angeht. Wenn ich auf meine Erfahrung zurückblicke, welche sensiblen Daten ein Auditor teilweise zu sehen bekommt (und auch zu sehen bekommen muss, um Entscheidungen bzgl. des Audits zu treffen), dann sollte Datensicherheit in dem Bereich einfach großgeschrieben werden. Denn im Zweifelsfalle hängt da nicht einfach nur ein Einkaufspreis daran, der aufgrund eines Datenleaks verloren gehen kann. Denn wenn etwa im Bereich Entwicklung auditiert wird, dann können hier Datenleaks existenzgefährdende Auswirkungen haben. Dessen sollte man sich immer bewusst sein.

Fazit

Ich hoffe mit diesen Aspekten und an den praktischen Beispielen konnte ich näherbringen, warum ich es gut finde, das aktuell Audits remote stattfinden, aber ich davon ausgehe, dass langfristig zum Beispiel Systemaudits wieder vor Ort durchgeführt werden müssen.

Natürlich kann man in Zukunft darauf achten, dass wir aus den Erfahrungen dieser Sondersituation lernen und zum Beispiel Eröffnungsgespräche nicht mehr dichtgedrängt mit der kompletten Belegschaft stattfinden lassen, sondern, dass wir zu jedem Zeitpunkt Sicherheitsabstände einhalten.

Der Autor: Michael Thode ist Gründer und Mitinhaber der Lösungsfabrik Thode und Partner. Die Lösungsfabrik unterstützt kleine und mittelständische Unternehmen bei der Einführung und Anpassung eines Qualitätsmanagementsystems. Besonderer Wert wird dabei auf individuelle Lösungen gelegt, die dem Unternehmen auch einen Vorteil bringen.

Hinweis: Die TÜV Technische Überwachung Hessen GmbH übernimmt keinerlei Haftung für die Inhalte und Aussagen auf externen Seiten. Bei Beanstandungen wenden Sie sich bitte an den Urheber der jeweiligen Seite. Vielen Dank für Ihr Verständnis.