Das interne Audit ist in Abschnitt 8.2.2 der ISO 13485 festgelegt. Es hat zwei Funktionen: zu pruefen, ob das QMS der Norm und den regulatorischen Anforderungen entspricht, und zu pruefen, ob es tatsaechlich umgesetzt und aufrechterhalten wird. Ein gut durchgefuehrtes internes Audit ist ein Managementinstrument. Ein nachlaessig durchgefuehrtes internes Audit ist ein abgehaktes Kaestchen, das einen falschen Eindruck von Kontrolle vermittelt.
Der Aufbau des Jahresprogramms
Die Norm verlangt ein geplantes Auditprogramm, das den Status und die Bedeutung der Prozesse sowie die Ergebnisse vorangegangener Audits beruecksichtigt. Konkret muss ein Jahresprogramm saemtliche Prozesse des QMS ueber den Zertifizierungszyklus (3 Jahre) abdecken, mit einer hoeheren Frequenz fuer Prozesse mit hohem Risiko oder solche, die in juengerer Zeit Nichtkonformitaeten aufwiesen.
Das Programm muss zu Beginn des Zyklus erstellt werden, mit fest in den Kalendern blockierten Terminen. Ein Auditprogramm, das sich nach und nach zwischen zwei operativen Notfaellen zusammensetzt, bleibt am Ende immer unvollstaendig.
Die Qualifikation der internen Auditoren
Die internen Auditoren muessen in der Norm ISO 13485, in den anwendbaren regulatorischen Anforderungen (MDR, IVDR) und in Audittechniken geschult sein. Die Norm ISO 19011 ist der Referenzleitfaden fuer die Durchfuehrung von QMS-Audits.
Zwei Anforderungen sind nicht verhandelbar.
Die Unabhaengigkeit. Auditoren duerfen ihre eigene Arbeit nicht auditieren. In einer kleinen Struktur bedeutet dies einen Austausch zwischen Funktionen oder den Rueckgriff auf einen externen Auditor fuer Prozesse, bei denen die interne Unabhaengigkeit nicht gewaehrleistet werden kann.
Die praktische Schulung. Die Teilnahme an einer Auditorenschulung reicht nicht aus. Eine begleitete Beobachtungserfahrung — das Auditieren im Tandem mit einem erfahrenen Auditor, bevor man ein Audit eigenstaendig durchfuehrt — ist die Voraussetzung fuer ein tatsaechliches Kompetenzniveau.
Die Nutzung der Ergebnisse: der Teil, den die meisten KMU vernachlaessigen
Ein Auditbericht, der Abweichungen feststellt, ohne dass danach etwas geschieht, ist nutzlos. Der interne Auditprozess muss mit dem CAPA-Prozess verknuepft sein: jede festgestellte Nichtkonformitaet erzeugt eine Korrekturmassnahme mit Verantwortlichem und Frist, gefolgt von einer Wirksamkeitspruefung.
Die Ergebnisse der internen Audits fliessen in die Managementbewertung ein. Die Leitung muss die Trends ueber mehrere Zyklen erkennen: Treten dieselben Nichtkonformitaeten bei denselben Prozessen wieder auf? Sind bestimmte Prozesse systematisch anfaelliger? Diese Trends bestimmen das naechste Auditprogramm.
Ein internes Audit, das niemals Nichtkonformitaeten erzeugt, ist verdaechtig. Entweder fehlt es den Auditoren an Strenge, oder der auditierte Umfang ist unzureichend. Ein reales QMS erzeugt immer Verbesserungsmoeglichkeiten.