Compliance-Audit

Was ist ein Audit?

Ein Compliance-Audit bewertet, ob eine Organisation die für sie geltenden Pflichten einhält: Rechtsvorschriften, Vertragsbedingungen, freiwillige Verpflichtungen und interne Richtlinien. Im Unterschied zum Qualitätsaudit steht nicht die Leistung, sondern die EINHALTUNG im Mittelpunkt.

Warum wird sie durchgeführt?

Ziel ist, das Risiko von Sanktionen, Bußgeldern und Vertragsverletzungen frühzeitig zu erkennen. Die Kosten der Nichteinhaltung übersteigen die Kosten der Behebung meist um ein Vielfaches.

Wer beauftragt es?

Organisationen in stark regulierten Branchen
Konzerne mit Tätigkeit in mehreren Ländern
Unternehmen, die eine Compliance-Funktion aufbauen oder stärken
Parteien, die ihre vertraglichen Pflichten überprüfen möchten
Vorstände und Prüfungsausschüsse

Auditkriterien

Die Kriterien sind das Verzeichnis der Compliance-Pflichten der Organisation: geltendes Recht, Genehmigungs- und Lizenzanforderungen, Vertragsbedingungen, Branchenregeln und interne Richtlinien. Wie aktuell dieses Verzeichnis ist, bestimmt unmittelbar die Gültigkeit des Audits.

Auditumfang

Aktualität und Umfang des Compliance-Pflichtenverzeichnisses
Gültigkeit von Genehmigungen, Zulassungen und Lizenzen
Mechanismus zur Überwachung von Gesetzesänderungen
Nachverfolgung vertraglicher Pflichten
Einhaltung interner Richtlinien und Verfahren
Erfüllung von Berichts- und Meldepflichten
Compliance-Schulungen und Sensibilisierung
Mechanismus für Hinweisgeber und Meldung von Bedenken
Frühere Verstöße und ergriffene Maßnahmen
Überwachung der Compliance-Leistung

Zugehörige Normen

ISO 37301
ISO 19011
ISO 37001
ISO 31000

Auditablauf

1Festlegung von Umfang und KriterienWas wonach auditiert wird, wird schriftlich festgehalten: Verhaltenskodex des Kunden, Spezifikation, Norm oder Fragenkatalog.
2Erhebung von VorabinformationenGröße und Tätigkeit der zu auditierenden Seite, ihre Audithistorie und offene Abweichungen werden gesichtet.
3AuditplanAudittag, Team und Zeitplan werden vorbereitet; zu besuchende Bereiche und zu befragende Funktionen werden geplant.
4EröffnungsbesprechungZweck, Umfang, Methode und Berichtsform des Audits werden erläutert; Vertraulichkeit und Unparteilichkeit werden bestätigt.
5Audit vor OrtProduktions- bzw. Dienstleistungsbereiche werden begangen, Aufzeichnungen geprüft und Mitarbeitende befragt. Feststellungen werden sofort dokumentiert.
6Klassifizierung der FeststellungenDie Feststellungen werden nach der Klassifikation des jeweiligen Programms eingestuft (kritisch / Haupt- / Neben- / Beobachtung).
7AbschlussbesprechungDie Feststellungen werden der Leitung vorgestellt, begründet und die Erwartung an Korrekturmaßnahmen dargelegt.
8Bericht und NachverfolgungDer Auditbericht wird erstellt; ein Korrekturmaßnahmenplan wird eingeholt und dessen Abschluss verfolgt. Erforderlichenfalls erfolgt ein Nachaudit.

Feststellungen

Feststellungen werden nach der Schwere des Verstoßes klassifiziert. Rechtsverstöße bilden stets die schwerwiegendste Kategorie und erfordern meist sofortiges Handeln; Abweichungen von internen Richtlinien können über einen längeren Zeitraum behoben werden.

Auditbericht

Angaben zu Auditstelle, Auditor und auditierter Seite
Datum, Dauer und Umfang des Audits
Angewandte Kriterien oder Fragenkatalog
Auditierte Bereiche und Prozesse
Feststellungen und deren Klassifizierung
Nachweise und Fotos zu den Feststellungen
Bewertung oder Einstufung, sofern das Programm dies verlangt
Korrekturmaßnahmenplan und Stand der Erledigung

Grenzen des Ergebnisses

Dieses Audit dokumentiert den zum Auditzeitpunkt und im auditierten Umfang beobachteten Zustand. Auditieren beruht auf Stichproben: Die geprüften Aufzeichnungen und begangenen Bereiche werden repräsentativ ausgewählt, was nicht bedeutet, dass jede Aufzeichnung geprüft wurde. Der Bericht ist weder Garantie noch Zertifikat und entbindet die auditierte Seite nicht von ihrer Verantwortung.

Akkreditierung

Die Akkreditierung hängt von der Auditart ab. Drittparteienaudits als Grundlage der Managementsystemzertifizierung erfolgen nach ISO/IEC 17021-1, solche für die Produktzertifizierung nach ISO/IEC 17065; diese Bereiche unterliegen der Akkreditierung. Erst- und Zweitparteienaudits sowie Audits nach eigenen Regeln eines Programmeigners (etwa SMETA oder amfori BSCI) fallen nicht unter akkreditierte Zertifizierung; sie folgen dem Leitfaden ISO 19011 und erzeugen einen Bericht. EUROLAB verfügt über international anerkannte Akkreditierungen nach ISO/IEC 17021-1 und ISO/IEC 17065 von Unterzeichnerstellen der IAF-Vereinbarung; welches Audit im akkreditierten Umfang angeboten werden kann, wird im Angebotsstadium schriftlich bestätigt.

Geltungsbereich und Befugnisse

Zugehörige Audits

Häufige Fragen

Gibt ein Compliance-Audit ein Rechtsgutachten ab?

Nein. Der Auditor trifft Feststellungen gegenüber den festgelegten Pflichten; die Auslegung der Rechtsvorschriften und ihre rechtlichen Folgen sind Sache der Rechtsberatung. Der Auditbericht ist ein Input für diese Bewertung.

Basiert das Audit auf Stichproben?

Ja. Der Auditor kann nicht jede Aufzeichnung und jedes Produkt prüfen; die Stichprobe wird so gewählt, dass sie das Ganze repräsentiert. Dass ein Audit keine Feststellungen ergibt, bedeutet daher nicht, dass überhaupt keine Abweichung vorliegt; ein Audit bietet eine Zusicherung, keinen absoluten Beweis.

Wird der Audittermin im Voraus angekündigt?

Das hängt vom System und der Käuferpolitik ab. Angekündigte, halb angekündigte (mit einem Zeitfenster) und unangekündigte Audits können angewendet werden. Ein unangekündigtes Audit soll verhindern, dass Aufzeichnungen für das Audit vorbereitet werden, und wird zunehmend häufiger eingesetzt.