Was macht ein erfolgreiches Audit aus?
Ziele und Rahmenbedingungen für Audits
Was will ein erfolgreiches Audit erreichen?
- Auditergebnisse sollen Fakten (positive und negative) finden und darstellen,
- sie sollen reproduzierbar und vergleichbar sein, wenn Auditergebnisse unterschiedlicher
Bereiche, Standorte oder Organisationen verglichen werden,
- d.h. gleiche Fakten sollen zu gleichen Auditergebnissen (Findings) (positiv und negativ)
führen,
- sie sollen den Lernprozess bei den Auditierten und Auditoren und den Erfahrungsaustausch
ermöglichen oder unterstützen, und
- sie sollen dabei helfen, alle Bereiche, die im Audit betrachtet werden, systematisch
zu verbessern, und
einen kontinuierlichen Verbesserungsprozess initiieren, aufrechterhalten
und unterstützen.
Voraussetzungen für Audits
Was sind die Voraussetzungen für ein erfolgreiches Audit?
Gute Auditergebnisse sind nur möglich, wenn u. a. folgende Voraussetzungen erfüllt
sind,
- Auditierte sollten im Audit dafür offen sein, dass
- ihre Ziele, Vorgehensweisen und Ergebnisse (kritisch) hinterfragt werden, und
- dies als Chance verstehen, einen anderen Blick auf ihr System zu werfen, daraus zu
lernen und sich zu verbessern.
- Auditoren sollten erfahrene Experten für die verschiedenen auditierten Bereiche sein
und auch als solche akzeptiert werden,
- sie sollten unvoreingenommen an ein Audit herangehen und nicht nur danach suchen,
- dass ihre eigenen Erwartungen und Erfahrungen erfüllt werden, sondern andere Ziele,
Vorgehensweisen u. a. der Auditierten akzeptieren, wenn diese im Sinne der Analgensicherheit
erfolgreich sind.
- Auditoren sollten sich an Fakten orientieren und eine objektive Bewertung der Organisation,
der Systeme und Prozesse vornehmen (Cold Eye Review).
Standard und Inhalte von Audits für Anlagensicherheit
Welche Standards, Frage- und Checklisten sollten für ein erfolgreiches Audit benutzt
werden?
Von großem Vorteil ist es, wenn bei der Durchführung von Auditimmer wieder derselbe
Standard verwendet wird, dieselben Vorgehensweisen durchlaufen und dieselben Frage-
und Checklisten verwendet werden. Dies ist u. a. auch für die Vergleichbarkeit von
Audits und deren Qualitätssicherung von großem Vorteil.
Einen solchen internationalen Standard (oder Norm) stellt für den Bereich Anlagensicherheit
z.B. der Standard der amerikanischen OSHA (Occupational Safety and Health Agency)
dar, der auf dem Standard US 29 CFR §1910.119 beruht. Inhalte dieses Standards und
die entsprechenden gut ausgearbeiteten Fragebögen fokussieren auf 15 Elemente, siehe
Abbildung 1, die für die Bereiche der Anlagensicherheit als besonders wichtig angesehen
werden (zu Inhalten, Vorgehensweisen, Details und Vergleichen/Referenzmatrices des
OHSA PSM –Process Safety Management- Standards u. a. mit anderen Normen z.B. ISO
19001, siehe /5/):
Abbildung 1: Die Elemente von Audits für Anlagensicherheit nach OSHA PSM
In Deutschland bietet sich als Alternative die Störfall-Verordnung mit ihrem Anhang
zu Anforderungen an ein Sicherheitsmanagementsystem (SMS) als Leitfaden für ein Audits
für Anlagensicherheit an. Allerdings werden dazu (wie bereits oben ausgeführt) keine
einheitlichen Vorgehensweisen, Fragelisten usw. verwendet. Daraus erwächst dann möglicherweise
der Nachteil, dass unterschiedliche Anforderungen an ein SMS von unterschiedlichen
Stellen gestellt werden und die daraus folgenden Auditergebnis für verschiedene Organisationen
oder Unternehmen nicht miteinander verglichen werden können. Es wäre also notwendig,
sich auf einen Standard (z.B. vom LANUV NRW /3/) zu einigen.
Anmerkung:
Für die Bereiche Umweltschutz, Arbeitssicherheit, Arbeitschutz, Qualität und andere
müssen entsprechend andere oder zusätzliche Standards, Frage- und Checklisten benutzt
werden, wobei hier insbesondere auch die verschiedenen internationalen Audit-Normen,
wie z.B. ISO 9001, ISO 14001 usw., berücksichtigt werden müssen.
Vorgehen bei Audits
Ein Audit sollte in 2 Schritten erfolgen (die hier beschriebene Vorgehensweise entspricht
ebenfalls dem OSHA PSM Standard):
- System-Verifizierung („im Büro“)
Bei der Managementsystem-Verifizierung (neben einer „Analyse der Papiere“ finden
dazu auch „im Büro“ Gespräche mit Mitgliedern der verschiedenen Managementebenen
und Vertretern der Arbeitnehmer) wird untersucht,
- welche Politiken, Konzepte, Strategien, Organisationen, Maßnahmen, Verfahren, Prozesse,
Arbeitsabläufe usw. (die Vorgaben) das Unternehmen einsetzt, um seine Ziele unter
Einhaltung aller externen und internen Rahmenbedingungen zu erreichen, und
- ob die Ziele erreicht werden, das System also erfolgreich ist.
- Eingesehen werden dazu z.B. Intranet, Organisationsbeschreibungen, Managementhandbücher,
Verfahrensbeschreibungen, Betriebshandbücher, technische Dokumentation, usw. des
Unternehmens.
Bei der Vor-Ort-Verifizierung (Beobachtungen, Besichtigungen im Unternehmen, im
Werk, in den Anlagen und dabei geführten Gesprächen mit Mitarbeitern aller Ebene
vor Ort) wird untersucht,
- ob die zuvor untersuchten Vorgaben (System-Verifizierung) vor Ort bekannt und für
jeden Mitarbeiter zugänglich sind,
- ob sie konform umgesetzt werden und erfolgreich sind.
- Ein wichtiger Aspekt dabei ist auch, wie die Mitarbeiter für die Ziele, Organisationssysteme,
Prozesse und Maßnahmen des Unternehmens motiviert und wie sie dabei einbezogen werden.
- Sollten im Unternehmen auch Fremdfirmen oder Kontraktoren tätig werden, so muss auch
geprüft werden, ob diese entsprechend informiert und eingebunden sind.
Audit-Ergebnisse
Nach den Verifizierungen muss bei einem erfolgreichen Audit die Bewertung der erhobenen
Fakten erfolgen sowie die Audit-Ergebnisse präsentiert und dokumentiert werden.
In vielen Jahren hat sich in der Praxis gezeigt, dass es günstig ist, Audit-Ergebnisse
in 2 Kategorien zu unterscheiden:
- Priorität 1 Ergebnisse (P1 Findings) sind Abweichungen von
- gesetzlichen, regulatorischen oder behördlichen Vorgaben, oder
- Vorgaben des angewendeten Audit-Standards (OHSA PSM oder eine Norm usw.), oder
- Eigenen Vorgaben des auditierten Unternehmens.
- Priorität 2 Ergebnisse (P2 Findings) sind Abweichungen von
- Den oben genannten Kategorien, aber von minderer Art und weniger bedeutend (z.B.
in der Regel wird eine bestimmte Vorgabe eingehalten, aber es wurde einzelne, nicht-systematische
Abweichungen gefunden; oder in der Regel wissen alle Mitarbeiter, was sie wissen
sollen, aber einzelne wissen nicht genug), oder
- Empfehlungen für weitere Verbesserungen
Bei der Bewertung von einzelnen Audit-Beobachtungen kann es hilfreich sein, z.B.
folgende zusätzliche Kriterien zu benutzen:
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) nicht bekannt
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben bekannt, liegen aber vor
Ort nicht vor oder werden nicht eingehalten
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten, entspricht aber nicht dem allgemeinen Standard (Gesetzes- oder Industrie-Standard)
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten, weist aber Schwächen auf bzw. entspricht nicht der guten Praxis
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten, weist keine wesentlichen Schwächen auf bzw. entspricht weitestgehend
der guten Praxis, wird aber nicht durch entsprechende Kennziffern gemessen
- Kriterien für positive Beurteilungen
- Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten und wird regelmässig überprüft, es wurden Verbesserungen vorgenommen
(z.B. es liegen verschieden Versionen vor usw.) und durch entsprechende Kennziffern
gemessen - Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten und wird regelmässig überprüft, es wurden Verbesserungen vorgenommen
(z.B. es liegen verschieden Versionen vor usw.) und durch entsprechende Kennziffern
gemessen; es finden regelmäßige Audits statt - Prüfpunkt/-gebiet/-thema usw. (z.B. Ziele oder Vorgaben) bekannt, wird auch regelmässig
eingehalten und wird regelmässig überprüft, es wurden Verbesserungen vorgenommen
(z.B. es liegen verschieden Versionen vor usw.) und durch entsprechende Kennziffern
gemessen; es finden regelmäßige Audits statt; das Management kennt und beurteilt
dies.
- Hinweis: Es sollte einer guten Audit-Praxis entsprechen, auch positive oder besonders
positive Audit-Beobachtungen und –Ergebnisse zu dokumentieren
Alternativ können für die Bewertung von einzelnen Audit-Beobachtungen und Themen
z.B. auch folgende Kriterien benutzt werden:
- ist die Vorgehensweise systematisch
- inwieweit ist die Vorgehensweise in das Tagesgeschäft integriert
- erfolgt eine regelmässige Überprüfung der Vorgehensweise
- ist die Vorgehensweise in allen relevanten Bereichen umgesetzt
- wie sind die Ergebnisse / Trends
- Vergleiche mit eigenen Zielen
- Vergleiche mit anderen Unternehmen
- inwieweit sind die Ergebnisse auf eigene Anstrengungen zurückzuführen
- inwieweit betreffen die Ergebnisse alle relevanten Bereiche
Ein Beispiel für die zusammenfassende Darstellung und Bewertung von Auditergebissen
ist in Abbildung 2 für den Bereich Anlagensicherheit dargestellt:
Abbildung 2: Zusammenfassende Darstellung und Bewertung von Auditergebissen (fiktives
Beispiel)
Audit-Durchführung
Für die Durchführung eines Audits benötigt man Ressourcen, die abhängig sind von
Art und Größe der auditierten Organisation und Anlagen, von Zielen, Umfang und Tiefe
des Audits, sowie eventuell von weiteren Faktoren.
Als Beispiel werden im Folgenden Ein Audit für ein Anlagensicherheit, ein Audit-Team
und der Ablauf für einen Mineralöl- oder Chemie-Standort mit bis zu ca. 1000 Mitarbeiter
vor Ort angegeben:
1 Audit-Leiter (der Audit-Leiter sollte mindestens 10 vergleichbare Audits durchgeführt
haben)
und bis zu
8 weitere erfahrene Auditoren
mit (auch operativen) Fachkompetenzen für die Bereiche
Umweltschutz-Sicherheit,
Anlagensicherheit, Organisation-Managementsysteme, Personal, Produktion, Instandhaltung,
IT, weitere je nach Bedarf
- Die 8 Auditoren werden in 4 Teams aufgeteilt
- Jedes Team bearbeitet mehrere, unterschiedliche Prüfthemen
(z.B. 3 bis 5 Themen des
OHSA PSM Standards)
Die 4 Audit-Teams gehen getrennt vor und nehmen erst eine System-Verifizierung und
dann eine Vor-Ort-Verifizierung für ihre Prüfthemen vor.
In einem Tagesabschlussgespräch werden die Beobachtungen und Ergebnisse der 4 Audit-Teams
am Ende eines Tages zusammengetragen, offene Fragen werden den Auditierten mitgeteilt
(daily audit feedback).
Die Auditierten haben die Möglichkeit, sofort oder an den nächsten Audittagen eventuelle
offene Fragen zu klären.
Das gesamte Audit dauert in der Regel 5 Arbeitstage (ohne Vor- und Nachbereitung).
Ein vorläufiger Audit-Bericht wird den Auditierten am 5 ten Tag des Audits präsentiert.
- Es ist gute Praxis, dass der vorläufige Abschlussbericht mit den Auditierten diskutiert
wird und diese Gelegenheit haben, dazu Stellung zu nehmen.
- Es ist außerdem gute Praxis, dass der vorläufige Abschlussbericht mit Zustimmung
der Auditierten beschlossen wird (letzteres ist meistens, aber nicht immer erreichbar).
Ein endgültiger Audit-Bericht sollte den Beteiligten zeitnah, in der Regel spätestens
4 Wochen nach Durchführung des Audits vorgelegt werden.
Welche Ziele und Erfolge können mit dem hier dargestellten Audit-Prozess erreicht
werden?
- Ein Audit kann im besten Fall objektive und vergleichbare Audit-Ergebnisse liefern.
- Notwendige Voraussetzung hierfür ist die Nutzung eines gemeinsamen Standards für
Ziele, Anforderungen, Vorgehensweisen usw. bei den Audits.
- Dabei kann die Nutzung desselben Sicherheitsauditstandards z.B. dazu beitragen,
dass gleiche Vorgaben zu gleichen Anforderungen (gleich im Sinne von gleichem Sicherheitsniveau,
nicht im Sinne von gleicher technische Ausführung) und damit auch zu vergleichbar
sicheren Industrieanlagen führen.
- Abweichungen von Normen, Vorgaben und Standards feststellen und bewerten,
- Dabei kann die Nutzung desselben Auditstandards z.B. dazu beitragen, dass vergleichbare
Abweichungen auch zu denselben Bewertungen bzw. denselben Audit-Ergebnissen führen.
- konkrete Verbesserungsmöglichkeiten aufzeigen und anregen, und
- zu einem kontinuierlichen Verbesserungsprozess im Bereich Anlagensicherheit beitragen.
- Mit der Überprüfung der Erfüllung von externen (u. a. rechtlichen) Vorgaben können
Audits einen wesentlichen Beitrag zur Rechtssicherheit (Compliance) für ein Unternehmen
leisten.
Zum anderen können gerade Audits für Anlagensicherheit wesentlich dazu beitragen,
eventuellen Störungen und Störfällen bei industriellen Prozessanlagen proaktiv vorzubeugen.
Durch das immer wiederkehrende Infrage stellen von Tätigkeiten, Leistungen und Ergebnissen
einer Organisation können Audits auch ein wesentliches Element von sogenannten Lernenden
Organisationen (LeO) oder High Reliability Organisationen (HRO) sein.
Audits - eine kleine Einführung
Managementsysteme sind heute „Stand der Technik für die Organisation“ von Unternehmen
und es ist heute nur schwer vorstellbar, dass ein Unternehmen seine rechtlichen,
normativen oder auch internen Vorgaben erfüllt, ohne dies im Rahmen von und mit
Hilfe von Managementsystemen zu tun.
Was Managementsysteme erfolgreich macht, bzw. wie sie erfolgreich werden ist auch
auf dieser Website und an anderer Stelle beschrieben (siehe z.B. /1/ und /2/).
Allen Managementsystemen ist dabei eine Eigenschaft zu eigen, die der Selbstkontrolle
oder auch Selbstregulierung.
Zur Selbstkontrolle von Managementsystemen werden u.a. die sogenannten Systemaudits,
aber auch viele andere Arten von Audits (z.B. Fehleraudit, Unfallaudit, Prozessaudit
usw.) genutzt.
Für die Bereiche Qualität, Umwelt und Arbeitsschutz haben sich, besonders im Rahmen
der entsprechenden Zertifizierungen, seit einigen Jahren Verfahren etabliert, welche
die Vorgehensweise und Inhalte bei Audits zu den genannten Bereichen weitestgehend
festlegen, oder zumindest eine Art einheitlichen Rahmen dafür vorgeben.
Im Bereich der Anlagensicherheit (Process Safety) ist die Vorgehensweise in Deutschland
nicht einheitlich, und es gibt viele unterschiedliche Vorgaben und Vorgehensweise.
Als ein Beispiel soll hier auf das Vorgehen und die Fragelisten des LANUV NRW zum
Thema Anlagensicherheit /3/ verwiesen werden.
In Deutschland spielt bei einem Audit für Anlagensicherheit vor allem auch die Störfall-Verordnung
und deren Umsetzung im Unternehmen eine große Rolle (zu Anforderungen der Störfall-Verordnung
und der praktischen Umsetzung im Unternehmen siehe z.B. /4/).