Lieferantenauditor: Rolle, Qualifikation und Belegpflicht zwischen ISO 9001, VDA 6.3 und LkSG

ISO 19011:2018 definiert die Anforderungen an Audit-Programme und Auditor-Kompetenz. ISO 9001:2015 verlangt unter Abschnitt 8.4 die Steuerung extern bereitgestellter Prozesse und Produkte, also auch der Lieferanten. Wer in regulierten Branchen einkauft, kennt zusaetzlich VDA 6.3 (Prozessaudit Automobil), IATF 16949 (Automotive) und seit 2023 das LkSG, das Lieferantenaudits indirekt zur Pflicht macht.

Der Lieferantenauditor ist die Person oder Funktion, die diese Anforderungen operativ umsetzt. Er ist nicht nur ein Pruefer mit Checkliste, sondern ein Belegerbringer fuer Beschaffung, Qualitaetsmanagement, Compliance und Geschaeftsfuehrung. Dieser Leitfaden klaert Aufgabenprofil, Qualifikation, Berichtslinie und welche Audit-Vorlagen heute zwingend zum Standard gehoeren, damit Werksaudits nicht zum Excel-Friedhof werden.

Der Lieferantenauditor pruefe Qualitaetsfaehigkeit, Prozessreife, Compliance-Status und Risikoprofil von Lieferanten gegen definierte Normen und vertragliche Anforderungen. Er erstellt Auditplan, Auditbericht und Massnahmenliste, verfolgt deren Umsetzung und schlaegt Eskalationen bei Schwellenwertueberschreitung vor.

Abzugrenzen ist die Rolle von drei Nachbarrollen. Der interne Auditor pruefe das eigene Unternehmen (ISO 9001 Abschnitt 9.2). Der Zertifizierungsauditor arbeitet fuer eine akkreditierte Stelle und prueft fremde Managementsysteme gegen Norm. Der Lieferantenauditor pruefe Dritte im Auftrag des eigenen Unternehmens.

Die Tiefe haengt vom Risiko ab. Ein A-Lieferant fuer sicherheitsrelevante Komponenten verlangt VDA-6.3-Prozessaudit vor Erstmusterfreigabe und jaehrliche Re-Audits. Ein B-Lieferant fuer Standardteile genuegt mit Selbstauskunft plus Stichprobenaudit alle drei Jahre.

Die Berichtslinie laeuft typischerweise zum Einkauf, zur Qualitaetsleitung und bei LkSG-Trigger zum Lieferkettenbeauftragten. CIVAC bildet diese Berichtslinie im Workspace ab, inklusive Eskalationspfaden mit Frist und Verantwortlichem.

Andere fuehren Compliance wie einen Aktenschrank. Wir fuehren sie wie Software. Auditberichte, Korrekturmassnahmen und Wiedervorlagen sind im selben System verbunden.

Wer die Rolle nicht klar zuschneidet, riskiert Doppelarbeit zwischen Einkauf, QM und Compliance. Die Bestellurkunde legt fest, wer pruefen darf, gegen welche Normen und mit welcher Berichtspflicht.

ISO 19011:2018 ist die ueber Branchen hinweg geltende Leitlinie fuer Audit-Programme. Sie definiert Auditprinzipien, das Managen von Audit-Programmen, die Durchfuehrung von Audits und die Kompetenzanforderungen an Auditoren. Lieferantenaudits fallen unter die zweite Auditparteienkategorie (Second-party).

ISO 9001:2015 Abschnitt 8.4 verlangt, dass die Organisation Steuerungsmechanismen fuer extern bereitgestellte Prozesse, Produkte und Dienstleistungen festlegt. Die Tiefe muss risikobasiert sein. Audits sind ein moegliches Steuerungsinstrument, neben Selbstauskunft, Zertifikatspruefung und Lieferqualitaetskennzahlen.

VDA 6.3:2023 ist der deutsche Branchenstandard fuer Prozessaudits in der Automobilindustrie. Der Auditor benoetigt eine Zertifizierung nach VDA 6.3, die typischerweise einen mehrtaegigen Lehrgang und eine Pruefung umfasst. Re-Zertifizierung alle drei Jahre.

IATF 16949:2016 verlangt, dass Auditoren die spezifischen IATF-Kompetenzanforderungen erfuellen, dokumentiert in der Schulungsmatrix des Unternehmens. Branchenuebergreifend gilt: Die Kompetenz des Auditors muss schriftlich nachgewiesen werden.

CIVAC liefert die Lieferantenauditor-Rolle als Officer-as-a-Service mit dokumentierter Qualifikation oder als Workspace-Lizenz fuer eigene zertifizierte Auditoren. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Wer ohne dokumentierte Kompetenz auditiert, riskiert die Anerkennung des Auditergebnisses durch die Zertifizierungsstelle. Bei IATF-Audits kann das die Zertifizierung gefaehrden.

ISO 19011:2018 Abschnitt 7 listet die Kompetenzanforderungen. Persoenliches Verhalten, Wissen und Faehigkeiten im Auditieren, fachspezifisches Wissen, regulatorisches Wissen und Branchenwissen. Die Kombination dieser Bereiche muss dokumentiert und durch Schulung, Auditerfahrung und Mentoring nachgewiesen werden.

Typische Mindestanforderungen fuer einen Lieferantenauditor in der Industrie: technische oder kaufmaennische Ausbildung mit drei Jahren Berufserfahrung, abgeschlossene Auditor-Grundausbildung nach ISO 19011, mindestens fuenf begleitete Audits, Kenntnisse in den relevanten Normen (ISO 9001, ISO 14001, ISO 45001, je nach Scope).

Branchenspezifisch kommen Zertifizierungen hinzu. VDA 6.3 fuer Automotive, EN 9100 fuer Aerospace, ISO 13485 fuer Medizinprodukte, IFS oder BRC fuer Lebensmittel. Die Zertifikate werden in der Kompetenzmatrix gefuehrt und vor Ablauf erneuert.

Die Kompetenzmatrix dokumentiert pro Auditor: Ausbildung, Zertifikate, Schulungen, durchgefuehrte Audits mit Datum und Bereich, Beurteilungsergebnisse. Sie ist Teil des Audit-Programms nach ISO 19011 Abschnitt 5.

CIVAC fuehrt die Kompetenzmatrix im Workspace mit automatischer Wiedervorlage vor Zertifikatsablauf. Auditerfahrung wird mit jedem abgeschlossenen Audit automatisch fortgeschrieben. Der Pruefer ruft an, der Nachweis liegt bereit.

Bei Officer-as-a-Service liegt die Kompetenzmatrix beim Dienstleister, der dem auftraggebenden Unternehmen die Eignung jaehrlich bestaetigt. Beide Modelle sind nach ISO 19011 zulaessig, wenn die Dokumentation passt.

Das Auditprogramm legt fest, welche Lieferanten in welchem Rhythmus mit welcher Tiefe geprueft werden. ISO 19011:2018 Abschnitt 5 verlangt, dass das Programm risikobasiert geplant wird und Ziele, Umfang, Ressourcen und Kriterien definiert.

Risikoklassifizierung erfolgt typischerweise nach Spend, Bedeutung der Komponente fuer das eigene Produkt, Substituierbarkeit, Lieferantenhistorie, Land und Sektor (relevant fuer LkSG). A-Lieferanten erhalten jaehrliche Vor-Ort-Audits, B-Lieferanten alle zwei bis drei Jahre, C-Lieferanten Selbstauskunft mit Stichprobe.

Audit-Tiefe variiert ebenfalls. Ein Systemaudit nach ISO 9001 dauert typischerweise zwei bis drei Tage und prueft das gesamte Managementsystem. Ein Prozessaudit nach VDA 6.3 fokussiert auf einen oder mehrere Prozesse und dauert ein bis zwei Tage. Ein Produktaudit prueft konkrete Komponenten gegen Spezifikation.

Das Programm wird mindestens jaehrlich vom Audit-Programm-Owner aktualisiert. Aenderungen werden mit Begruendung und Approver dokumentiert. Frist laeuft ab Kenntnis: ein qualitaetskritischer Vorfall triggert ein Ad-hoc-Audit ausserhalb des Plans.

CIVAC modelliert das Auditprogramm als Workflow mit automatischer Terminplanung, Vorbereitungs-Checklisten, Auditbericht-Vorlagen und Massnahmen-Tracking. Die Belegkette zwischen Risikoklassifizierung, Auditplan und Auditergebnis bleibt nachvollziehbar.

Audit-Vorlagen umfassen 37 vorkonfigurierte Module, darunter VDA 6.3, IATF 16949, ISO 9001, ISO 14001, ISO 27001 und LkSG-spezifische Checklisten. Audit-fest, dokumentiert, ISO-fest.

ISO 19011:2018 Abschnitt 6 beschreibt den Ablauf. Eroeffnungsgespraech mit dem auditierten Lieferanten, Pruefung gegen Auditkriterien, Sammeln und Verifizieren von Nachweisen, Bildung von Feststellungen, Abschlussgespraech mit vorlaeufigem Ergebnis, Auditbericht.

Feststellungen werden klassifiziert. Major-Abweichung (Hauptabweichung) bei systemischen Maengeln, die die Produktqualitaet oder Konformitaet gefaehrden. Minor-Abweichung (Nebenabweichung) bei punktuellen Maengeln ohne Systemcharakter. Hinweis (Observation) bei Verbesserungspotenzial ohne Norm-Verstoss.

Der Auditbericht enthaelt Scope, Auditkriterien, Auditteam, Audittermine, Feststellungen mit Nachweis, Korrekturmassnahmen-Anforderung und Frist. Bei VDA 6.3 wird zusaetzlich ein Prozentpunktwert vergeben, der die Lieferanteneinstufung beeinflusst.

Die Massnahmenliste wird vom Lieferanten innerhalb einer definierten Frist mit Korrekturmassnahmen, Ursachenanalyse und Wirksamkeitsnachweis beantwortet. Typische Fristen: 8 Wochen fuer Ursachenanalyse, 12 Wochen fuer Umsetzung, 6 Monate fuer Wirksamkeitsnachweis.

CIVAC bildet diesen Workflow im Workspace ab. Feststellungen werden mit Ticket-ID, Verantwortlichem, Frist und Statusverfolgung gefuehrt. Wiedervorlagen werden automatisch erzeugt. Der Pruefer ruft an, der Nachweis liegt bereit.

Wer Auditberichte nur als PDF im Ordner ablegt, verliert die Verbindung zur Massnahmenverfolgung. Die Belegkette zwischen Feststellung, Massnahme und Wirksamkeitsnachweis ist Pflicht, nicht Kuer.

Das LkSG (Lieferkettensorgfaltspflichtengesetz, seit 2023) verlangt unter Section 6 angemessene Praeventivmassnahmen bei identifizierten Risiken. Lieferantenaudits sind ein gaengiges Instrument, insbesondere bei A-Lieferanten in Hochrisikolaendern oder -sektoren.

Das LkSG-Audit hat einen anderen Fokus als das klassische Qualitaetsaudit. Es prueft Menschenrechte, Arbeitsbedingungen, Umweltauflagen und Beschwerdemechanismen. Pruefer dafuer sind meist nicht die klassischen QM-Auditoren, sondern Spezialisten oder externe Dienstleister.

In der Praxis lassen sich beide Auditarten kombinieren. Das integrierte Lieferantenaudit prueft Qualitaet, Compliance und Menschenrechte in einer Vor-Ort-Visite. Voraussetzung ist ein Auditor mit erweiterter Kompetenz oder ein Audit-Team aus QM- und LkSG-Spezialisten.

BAFA-Pruefer (Bundesamt fuer Wirtschaft und Ausfuhrkontrolle) erwarten, dass Lieferantenaudits in die LkSG-Risikoanalyse einfliessen und Praeventivmassnahmen daran orientiert sind. Audit-Berichte werden im LkSG-Bericht referenziert.

CIVAC verbindet QM-Audit und LkSG-Audit in einer Datenstruktur. Der Lieferanten-Auditor und der LkSG-Beauftragte arbeiten auf demselben Lieferantenstammsatz.

Wer beide Disziplinen getrennt fuehrt, baut Doppelarbeit auf und riskiert widerspruechliche Aussagen im Audit. Compliance-Plattform und Officer-as-a-Service bringen beides in einen Workflow.

Seit 2020 sind Remote-Audits in vielen Schemata zulaessig. IAF MD 4:2018 regelt den Einsatz von Informations- und Kommunikationstechnologie in Auditprozessen. Vor-Ort-Audits bleiben fuer Erst-Zertifizierungen und kritische Lieferanten dominant; Re-Audits und Stichproben werden zunehmend hybrid.

Voraussetzung fuer Remote-Audit: stabile Verbindung, Bildschirmfreigabe der relevanten Systeme, Live-Video der relevanten Arbeitsbereiche, Identifikation der Gespraechspartner. Der Auditor muss begruenden, warum Remote in diesem Fall ausreichend ist.

Hybride Formate kombinieren Remote-Vorbereitung (Dokumentenpruefung, Interviews mit Fuehrungskraeften) und Vor-Ort-Tag (Produktion, Lager, Werkstattgespraeche). Audit-Dauer wird oft reduziert; Belegtiefe muss gleich bleiben.

Digital Audit Trail bedeutet, dass alle Auditartefakte (Auditplan, Berichte, Nachweise, Fotos, Massnahmen) revisionssicher abgelegt sind. EU-Datenresidenz ist fuer viele Auftraggeber Pflicht, gerade bei Lieferanten mit sensiblen Produktionsdaten.

CIVAC bietet EU-Datenresidenz fuer alle Audit-Artefakte und ist nach ISO/IEC 27001:2022 mit 93 Controls aufgestellt. Audit-Vorlagen und Fotos liegen im selben Workspace wie Risikomatrix und Massnahmenliste.

Wer Audit-Daten in verschiedenen Tools fuehrt (Sharepoint, Excel, E-Mail), verliert die Belegkette. Bestellurkunde, unterschrieben, abgelegt, belegbar gilt auch fuer die digitale Belegfuehrung.

Die Kosten haengen von Audit-Typ, Lieferanten-Standort und Auditor-Qualifikation ab. Ein Vor-Ort-Systemaudit nach ISO 9001 in Deutschland kostet typischerweise 1.500 bis 3.000 Euro pro Audit-Tag plus Reisekosten. VDA 6.3 mit zertifiziertem Auditor liegt eher bei 2.000 bis 3.500 Euro pro Tag.

Bei eigenen Auditoren fallen Personalkosten, Schulung, Zertifizierung und Reisekosten an. Eine Vollzeit-Auditor-Stelle kostet inklusive Overhead 100.000 bis 140.000 Euro pro Jahr und schafft 40 bis 60 Audits, je nach Reiseanteil und Audit-Tiefe.

Officer-as-a-Service kombiniert Flexibilitaet und Kostenkontrolle. CIVAC bietet die Lieferanten-Auditor-Rolle mit Bestellurkunde, Berichtslinie und definierten Audit-Volumen pro Jahr. Die SLA betraegt 2 Werktage fuer Onboarding, statt 2 bis 6 Wochen klassisch.

Audit-Tiefe vs. Zeit: Ein gruendliches Prozessaudit nach VDA 6.3 inklusive Vor- und Nachbereitung dauert insgesamt 5 bis 8 Personentage. Wer das in 2 Tage drueckt, riskiert Oberflaechlichkeit, die der Zertifizierungsauditor sieht.

CIVAC dokumentiert die Audit-Aufwaende im Workspace, sodass die Kapazitaetsplanung gegen das Auditprogramm gefahren werden kann. Engpaesse werden frueh sichtbar, Eskalationen ausgeloest.

Wer Audits nur nach Preis vergibt, kauft Risiko ein. Die Kompetenzmatrix und der Auditbericht entscheiden, ob das Audit als Nachweis taugt. Compliance-Plattform und Officer-as-a-Service in einer Hand.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service fuer Lieferantenauditierung, Lieferkettenpflichten, Qualitaetsmanagement und 22 weitere Beauftragten-Rollen. Audit-Programm, Kompetenzmatrix, Auditberichte, Massnahmenliste und LkSG-Bezug liegen in einem Workspace.

Lizenzieren Sie den Workspace fuer Ihre internen Auditoren, oder lassen Sie unsere Auditoren bestellen. Beide Modelle teilen die gleiche Datenstruktur: 93 Controls nach ISO/IEC 27001:2022, 490 einsatzbereite Audit-Vorlagen, Bestellurkunde, Berichtslinie, EU-Datenresidenz.

Konkret fuer die Lieferantenauditor-Rolle: vorkonfigurierte Audit-Vorlagen nach ISO 9001, VDA 6.3, IATF 16949, ISO 14001, ISO 45001, ISO 27001 und LkSG; Kompetenzmatrix mit automatischer Zertifikats-Wiedervorlage; Auditplan-Generator; Auditbericht-Templates; Massnahmenverfolgung mit Ticket-ID und Eskalationsregeln.

Die CIVAC-SLA betraegt 2 Werktage fuer Bestellung und Onboarding, statt klassischer 2 bis 6 Wochen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Pruefer ruft an, der Nachweis liegt bereit.

Empfohlener Einstieg ist eine Lueckenanalyse: Wir mappen Ihr bestehendes Audit-Programm gegen ISO 19011, branchenspezifische Normen und LkSG und liefern eine Massnahmenliste mit Aufwand und Frist.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Die Lueckenanalyse umfasst Audit-Programm, Kompetenzmatrix und Reporting-Templates.