Lieferanten-Auditor
Vor-Ort-Lieferanten-Audits nach ISO 9001 und IATF 16949, Abweichungsprotokolle, CAPA-Verfolgung, Auditbericht mit Risikoscore. Geplant in einem rollierenden Drei-Jahres-Zyklus.
ISO 9001 · IATF 16949
Lieferanten-Auditor: Mit uns sprechen
Drei Zeilen und Sie sind in unserem Posteingang. Antwort innerhalb eines Werktags.
Was macht ein Lieferanten-Auditor?
Der Lieferanten-Auditor prüft, ob ein Lieferant die vertraglich und normativ vereinbarten Anforderungen erfüllt. Methodische Grundlage ist die ISO 19011:2018, der Leitfaden zur Auditierung von Managementsystemen, die für Erst-, Zweit- und Drittparteienaudits gilt. Das Sechs-Phasen-Modell der ISO 19011 strukturiert jeden Audit: Initiierung, Auditplanung, Vorbereitung, Durchführung vor Ort, Auditberichterstellung und Auditabschluss mit Folgemaßnahmen. Plan-Do-Check-Act (PDCA) bildet den übergeordneten Verbesserungsrahmen.
Eine gesetzliche Bestellpflicht für den Lieferanten-Auditor gibt es nicht. Die Rolle entsteht aus Norm- und Vertragsanforderungen. ISO 9001:2015 § 8.4 (Steuerung extern bereitgestellter Prozesse, Produkte und Dienstleistungen) verpflichtet jedes zertifizierte Unternehmen zur risikobasierten Lieferantenbewertung, ohne eine Person zu benennen. Automotive-Lieferanten erfüllen zusätzlich IATF 16949:2016, dessen Anhang B den VDA-6.3-Prozessaudit als anerkannte Methodik für Tier-1- und Tier-2-Audits referenziert. Die VDA-6.3-Auditfragenliste umfasst sieben Prozessschritte (P1 Potenzialanalyse bis P7 Kundenbetreuung) mit 64 Einzelfragen und einem Bewertungsmodell von 0 bis 10 Punkten je Frage. Wer den Auditor stellt, ergibt sich damit aus dem Lieferantenhandbuch des Kunden, nicht aus einem Gesetz.
Seit dem 1. Januar 2024 kommt eine weitere Auditschicht hinzu. Das Lieferkettensorgfaltspflichtengesetz verlangt von Unternehmen im Anwendungsbereich des § 1 LkSG, in der Regel ab 1.000 Arbeitnehmern im Inland, nach § 5 Abs. 1 LkSG eine Risikoanalyse im eigenen Geschäftsbereich und bei den unmittelbaren Zulieferern; § 6 Abs. 4 Nr. 4 LkSG verlangt zusätzlich vertragliche Kontrollmechanismen und deren risikobasierte Durchführung. Anerkannte Methodiken sind SMETA (Sedex Members Ethical Trade Audit) und SA8000. Der Lieferanten-Auditor verbindet damit drei Welten: Qualität (ISO 9001, IATF 16949, VDA 6.3), Informationssicherheit (ISO 27001 Lieferantenaudits nach Annex A.5.19) und Nachhaltigkeit (LkSG, CSDDD).
Im Tagesgeschäft entscheidet weniger der Audittag selbst als die Nachbereitung. Auffällig wird im Zertifizierungsaudit, wenn Feststellungen nicht als Hauptabweichung, Nebenabweichung oder Beobachtung klassifiziert sind, wenn Korrekturmaßnahmen nach 8D-Methodik ohne Wirksamkeitsprüfung im Folgeaudit geschlossen werden oder wenn das Auditprogramm die Klassifizierung der Lieferanten nach Risiko, Volumen und Kritikalität nicht abbildet. Ebenso häufig fehlt der Nachweis der eigenen Auditorenqualifikation: Registrierungen bei IRCA, DGQ-PersZert oder VDA QMC verlangen Fortbildung und nachgewiesene Audittage, und wer den Nachweis nicht führt, verliert den Status zwischen zwei Zertifizierungszyklen. Urlaub und Krankheit gehören als benannte Vertretung ins Auditprogramm, sonst verschiebt sich der Jahresplan ohne dokumentierte Begründung.
Aufgaben des Lieferanten-Auditors
- Erstellung des risikobasierten Auditprogramms nach ISO 19011:2018 Abschnitt 5 mit Auditzielen, Umfang und Kriterien.
- Lieferantenklassifizierung nach Risiko, Volumen und Kritikalität gemäß ISO 9001:2015 § 8.4.
- Vorbereitung der Auditcheckliste basierend auf Norm, Kundenanforderung und vorherigen Auditfeststellungen.
- Durchführung von Prozessaudits nach VDA 6.3 mit den sieben Prozessschritten P1 bis P7 (64 Fragen, 0 bis 10 Punkte).
- Durchführung von Systemaudits nach VDA 6.1 oder IATF 16949 mit Schwerpunkt Managementsystem und Kundenspezifika.
- Bewertung von Auditfeststellungen als Hauptabweichung, Nebenabweichung oder Beobachtung gemäß ISO 19011 Abschnitt 6.4.
- Verfolgung der Korrekturmaßnahmen nach 8D-Methodik mit Wirksamkeitsprüfung im Folgeaudit.
- Dokumentation des Auditberichts mit Auditbefunden, Empfehlungen und Lieferantenscore.
- Durchführung von LkSG- und SMETA-Audits zu Menschenrechten und Arbeitsbedingungen entlang der Lieferkette.
- Pflege der eigenen Auditorenqualifikation durch jährliche Fortbildung und Audittage-Nachweis (IRCA, DGQ-PersZert, VDA QMC).
Bestellung und Qualifikation des Auditors
Die Bestellpflicht des Lieferanten-Auditors ergibt sich nicht aus einem Bundesgesetz, sondern aus Norm- und Vertragsanforderungen. ISO 9001:2015 § 8.4.1 verlangt von jedem zertifizierten Unternehmen, Kriterien für die Bewertung, Auswahl, Überwachung und Neubewertung externer Anbieter festzulegen. IATF 16949:2016 § 8.4.2.4.1 verlangt für Automotive-Tier-Lieferanten explizit ein Lieferantenüberwachungsprogramm mit zweitparteilichen Audits. Die anerkannten Methodiken sind VDA 6.3 (Prozessaudit), VDA 6.1 (Systemaudit) und ISO/TS 16949-Vorgänger-Audits.
Die Auditorenqualifikation richtet sich nach ISO 19011:2018 Abschnitt 7. Allgemeine Anforderungen: persönliche Verhaltensweisen, Fachkompetenz für den Auditbereich, Auditkenntnisse und Audittage. Lead Auditor Trainings sind 40 Stunden bei IRCA-akkreditierten Anbietern, mit fünf protokollierten Audittagen pro Jahr für die Aufrechterhaltung. VDA-6.3-Auditoren absolvieren einen 3- bis 5-tägigen Lehrgang bei VDA QMC plus jährlich 1 Präsenzaudit. IRCA-Registrierung (Provisional Auditor, Auditor, Lead Auditor, Principal Auditor) verlangt nach Stufe zwischen 5 und 35 nachgewiesene Audittage. Externe Auditoren berechnen in Deutschland Tagessätze zwischen 950 und 1.800 Euro netto, VDA-6.3-Auditoren mit Automotive-Schwerpunkt zwischen 1.200 und 2.200 Euro netto. Reiseaufwand wird separat erstattet.
- ISO 9001:2015-zertifiziertes Unternehmen mit Pflicht zur Lieferantenbewertung nach § 8.4.
- Automotive-Tier-Lieferant nach IATF 16949 mit verbindlichem Lieferantenüberwachungsprogramm.
- Kundenanforderung im Lieferantenhandbuch nach VW Formel Q, BMW STA oder Daimler MBST.
- LkSG-pflichtiges Unternehmen nach § 1 LkSG mit Kontrollen bei unmittelbaren Zulieferern nach § 6 Abs. 4 Nr. 4 LkSG.
- Lieferantenwechsel oder neuer Lieferant mit Erstbewertung vor Freigabe.
- Schwerwiegende Reklamation oder PPM-Schwellenwertüberschreitung beim Lieferanten.
Typische Branchen mit Lieferanten-Audit
- Automotive-OEM und Tier-1- bis Tier-3-Zulieferer (IATF 16949, VDA 6.3).
- Medizintechnik und Medizinproduktehersteller (ISO 13485, MDR (EU) 2017/745).
- Luft- und Raumfahrt (EN 9100, EN 9120).
- Maschinen- und Anlagenbau mit globalen Beschaffungsketten.
- Pharmazeutische Industrie und Auftragshersteller (GMP, GxP-Audits).
- Lebensmittelproduktion (IFS Food, BRC, ISO 22000).
- Elektronik und Halbleiterfertigung (IPC, IATF im Automotive-Segment).
- Chemie und Prozessindustrie mit REACH- und CLP-Compliance-Audits.
- Textil und Bekleidung mit SMETA-, BSCI- und SA8000-Audits.
- Konsumgüterhandel und Eigenmarken mit LkSG-Lieferantenaudits.
Wie CIVAC den Lieferanten-Auditor unterstützt
CIVAC führt das Auditprogramm des Lieferanten-Auditors als Rollenakte. Auditziele, Auditkriterien, Prüfumfang und die Zuordnung der Lieferanten zu Risikoklassen liegen an einer Stelle, versionsfest und mit Datum. Jeder geplante Audittermin ist eine terminierte Aufgabe mit Erinnerung, sodass eine Verschiebung im Jahresplan sichtbar wird und nicht erst im Zertifizierungsaudit auffällt. Vorlagen je Rolle geben Auditcheckliste, Feststellungsklassen und Berichtsaufbau eine feste Struktur, sodass zwei Auditoren dieselbe Systematik verwenden.
Die Auditorenqualifikation läuft als Schulung mit Nachweis pro Person: Fortbildungen und protokollierte Audittage bleiben der Person zugeordnet und sind damit gegenüber IRCA, DGQ-PersZert oder VDA QMC belegbar. Feststellungen, Korrekturmaßnahmen und deren Wirksamkeitsprüfung landen im Append-Only-Audit-Trail, der nachträgliche Änderungen sichtbar macht. Vertretung und Übergabe sind hinterlegt, damit ein Auditzyklus einen Personalwechsel übersteht. Die Rolle kostet 49 Euro pro Monat, wahlweise mit der Bestellung eines externen Beauftragten.
Häufige Fragen zum Lieferanten-Audit
Diese Rolle für Ihr Unternehmen besetzen?
Bestellen Sie unsere Experten als externe Beauftragten oder lizenzieren Sie CIVAC für Ihr eigenes Team. Wir besprechen mit Ihnen, was zu Ihrem Aufbau passt.