Der Auditfragekatalog nach ISO 19011: Fragen, die Nachweise erzeugen

Fragen Sie einen Raum voller Auditoren, was ein „Fragenkatalog“ ist, bekommen Sie drei Antworten — weil der Begriff ständig mit Auditplan und Checkliste vermischt wird. Das ist der Grund, warum interne Audits mit einem Stapel abgehakter Zeilen enden und trotzdem nichts zutage fördern, was die Organisation vorher nicht schon wusste.

Der zweite Grund ist unangenehmer: Ein großer Teil der Kataloge, die mir in Projekten begegnen, besteht aus umformulierten Normsätzen. Solche Fragen prüfen, ob jemand die Norm kennt — nicht, ob der Prozess trägt.

Drei verschiedene Dinge, ein Wort

Auditplan, Checkliste und Fragenkatalog beantworten drei verschiedene Fragen und haben drei verschiedene Lebensdauern.

Artefakt	Beantwortet	Lebensdauer	Typischer Fehler
Auditplan	Wann, wer, welcher Bereich, welcher Umfang?	ein Audit	wird zum Terminkalender ohne Auditkriterien
Checkliste	Welche Themen müssen abgedeckt sein?	ein Auditzyklus	ist in Wahrheit das Inhaltsverzeichnis der Norm
Fragenkatalog	Wie frage ich, damit die Antwort als Nachweis taugt?	mehrere Zyklen, laufend gepflegt	wird einmal geschrieben und nie wieder angefasst

Die Checkliste sagt, worauf Sie schauen. Der Fragenkatalog sagt, wie Sie danach fragen. Nur der zweite Teil entscheidet, ob am Ende ein objektiver Nachweis auf dem Tisch liegt oder eine Beteuerung.

Was ISO 19011 ist — und was sie ausdrücklich nicht ist

Abschnitt 1 beschreibt den Anwendungsbereich als Anleitung zum Auditieren von Managementsystemen: Auditprinzipien, Steuerung eines Auditprogramms, Durchführung von Audits, Bewertung der Kompetenz der Beteiligten [1]. Die Einleitung grenzt ab: Schwerpunkt sind interne Audits und Audits bei externen Anbietern; für die Zertifizierung durch Dritte gilt ISO/IEC 17021-1. Auf der eigenen Produktseite beantwortet ISO unmissverständlich, dass nach ISO 19011 nicht zertifiziert wird [1].

Damit ist die entscheidende Eigenschaft benannt, und sie wird regelmäßig überlesen: ISO 19011 ist ein Leitfaden, keine Anforderungsnorm. In ISO 9001:2015 taucht sie an genau einer Stelle auf, in einer Anmerkung hinter 9.2.2 f) [2]. Die Auditing Practices Group von ISO/TC 176 hält dazu fest, dass ISO 19011 dort nur als Beispiel genannt wird, dass Anmerkungen keine Anforderungen sind und dass ein Auditor deshalb weder eine Anforderung aus ISO 19011 zitieren noch eine Nichtkonformität gegen sie aussprechen darf [3]. Die Stellungnahme bezieht sich auf die Ausgabe 2018 und ist für 2026 nicht aktualisiert; am Status der Norm hat sich nichts geändert.

Praktisch heißt das: Ihr Katalog kann nicht „nicht normkonform“ sein — es gibt nichts, wogegen er verstoßen könnte. Verbindlich ist 9.2.2, mit Auditkriterien und Umfang je Audit, Objektivität und Unparteilichkeit der Auditoren, Berichterstattung und der Aufbewahrung von Nachweisen über die Durchführung des Programms und über die Ergebnisse [2]. Was ISO 19011 dazu beiträgt, ordnet die Übersicht zu ISO 19011 als Leitfaden für die Auditierung ein; die Programmebene behandelt der Beitrag zur Planung des Auditprogramms.

Welche Ausgabe auf Ihrem Schreibtisch liegt

ISO 19011:2026 ist im Mai 2026 als vierte Ausgabe erschienen; ISO 19011:2018 ist damit zurückgezogen [1]. Die Revision ist leicht ausgefallen: Das Vorwort nennt genau zwei Änderungen, beide zum selben Thema — die Erweiterung der Anleitung zu Methoden der Fernauditierung, übernommen aus ISO/IEC TS 17012, und die entsprechende Erweiterung des Anhangs A um Fernaudit-Methoden und virtuelle Standorte [1][4]. Der Schritt von 2011 auf 2018 hatte sieben solcher Punkte. Die Begriffe wuchsen von 3.1–3.26 auf 3.1–3.27 und stammen jetzt aus ISO 9000:2026 [1][5].

Für einen bestehenden Katalog ist das eine gute Nachricht: Die Nummerierung hat sich auf keiner Ebene der Abschnitte 5, 6 und 7 geändert [1]. Eine Ausnahme ist zitierrelevant. Abschnitt 4 hat Unterabschnitte bekommen: 2018 waren die sieben Auditprinzipien unnummerierte Buchstabenpunkte, zitiert wurde schlicht „Abschnitt 4“; 2026 sind es 4.2 Integrität, 4.3 sachliche Darstellung, 4.4 angemessene berufliche Sorgfalt, 4.5 Vertraulichkeit, 4.6 Unabhängigkeit, 4.7 nachweisbasierter Ansatz und 4.8 risikobasierter Ansatz [1]. Wer die Unabhängigkeit interner Auditoren belegen will, zitiert seit Mai 2026 also 4.6.

Die zweite Falle sind die Überschriften. Viele Unterabschnittstitel haben einen bestimmten Artikel bekommen; daneben stehen echte Titeländerungen:

Abschnitt	2018	2026
5.4.3	Establishing extent of audit programme	Establishing the scope of the audit programme
5.5.7	Managing and maintaining audit programme records	Managing audit related records
6.4.5	Audit information availability and access	Providing access to audit information
A.2	Process approach to auditing	Auditing of processes

Die Regel daraus: nie einen Titel aus 2018 mit einer Fundstelle aus 2026 kombinieren. Die Nummer stimmt dann, der Wortlaut nicht.

Und nun der Teil, der in Deutschland zählt: ISO 19011:2026 ist seit Mai 2026 veröffentlicht; die deutsche Übernahme DIN EN ISO 19011:2026-09 erscheint im September 2026 und ersetzt dann DIN EN ISO 19011:2018-10 [6]. Bis dahin ist DIN EN ISO 19011:2018-10 die gültige deutsche Norm. Mit der Übernahme ändert sich auch der deutsche Titel, von „Leitfaden zur Auditierung von Managementsystemen“ zu „Leitlinien zur Auditierung von Managementsystemen“ [6].

Einschätzung: Wer die Norm auf Deutsch gekauft hat, hat die Ausgabe 2018 auf dem Schreibtisch und dürfte nicht mitbekommen haben, dass die internationale Ausgabe vor drei Monaten abgelöst wurde. Ein Problem im internen Audit ist das nicht — auditiert wird gegen ISO 9001. Es ist aber ein Anlass, im September die Fundstellen im eigenen Katalog durchzusehen.

Der Grundfehler: das Verhör Kapitel für Kapitel

Das häufigste Fehlermuster ist das numerische Abarbeiten der ISO 9001 vor dem Prozessverantwortlichen: „Zeigen Sie mir Ihre 7.1.5, jetzt 7.1.6.“ Das erzeugt einstudierte Antworten und prüft, ob jemand die Norm auswendig kann.

Der zweite Nachteil ist struktureller Natur: Eine Feststellung aus einer Kapitelfrage lässt sich schlecht zuordnen. „Abweichung zu 7.1.5“ gehört niemandem. „Die Prüfmittel der Wareneingangsprüfung sind seit vierzehn Monaten nicht kalibriert, obwohl das Kalibrierintervall zwölf Monate beträgt“ gehört dem Leiter des Wareneingangs — und wird deshalb bearbeitet.

ISO 19011 widmet dem Auditieren von Prozessen einen eigenen Abschnitt im Anhang A (A.2, 2026 „Auditing of processes“, 2018 noch „Process approach to auditing“) [1]. Über dessen Inhalt sage ich hier nichts, der Normtext ist kostenpflichtig; dass es ihn gibt, sagt über die Gewichtung genug. Die Themenabdeckung sichert derweil die interne Auditcheckliste nach ISO 9001 — die Checkliste deckt ab, der Fragenkatalog führt das Gespräch.

Nach Prozessen strukturieren: das Turtle-Diagramm

Leiten Sie die Fragen für jeden Prozess und jede Schnittstelle aus den sechs Ecken eines Turtle-Diagramms ab, nicht aus einer Kapitelliste:

• Input — was löst diesen Prozess aus, und woher kommt es?
• Output — was wird erzeugt, und wie wird Konformität bestätigt, bevor es weitergeht?
• Ressourcen — Personal, Ausrüstung, Software: verfügbar, wenn sie gebraucht werden?
• Methoden und Kriterien — welches Verfahren gilt, und stimmt es mit der gelebten Praxis überein?
• Personal — wer macht das, und welche Kompetenz ist dafür nötig?
• Leistung — was wird gemessen, und was passiert bei einem Wert außerhalb der Grenzen?

Das Turtle-Diagramm ist ein Praxiswerkzeug, keine Normanforderung — und ISO 19011 stellt ohnehin keine Anforderungen. Genau das macht es brauchbar: sechs Blickwinkel auf denselben Prozess, ohne vorgeschriebene Formulierung.

Beispiel Wareneingangsprüfung. Statt „Halten Sie sich an die Arbeitsanweisung WI-014?“ — geschlossene Frage gegen ein Dokument — fragen Sie: „Beschreiben Sie mir, was zwischen der Anlieferung und der Verfügbarkeit im Bestand passiert.“ Anschließend fordern Sie die Aufzeichnung der letzten Lieferung an, die die Prüfung nicht bestanden hat.

Offene statt geschlossene Fragen

Geschlossene Fragen laden zu einem einstudierten „Ja“ ein. Sie umzuformulieren ist die Fähigkeit mit dem größten Hebel bei der Katalogerstellung:

Geschlossen (schwach)	Offen (stark)
„Halten Sie sich an das Verfahren?“	„Beschreiben Sie mir, was passiert, wenn ein Messwert außerhalb der Toleranz liegt.“
„Ist die Schulung aktuell?“	„Woher wissen Sie, dass diese Person für diesen Schritt qualifiziert ist?“
„Bewerten Sie Lieferantenleistung?“	„Zeigen Sie mir die letzte Lieferantenbewertung und was sich daraus ergeben hat.“
„Werden Abweichungen dokumentiert?“	„Erzählen Sie mir von der letzten Abweichung, die Sie hier behandelt haben.“
„Ist das Kalibrierintervall eingehalten?“	„Wie merken Sie, dass ein Prüfmittel fällig wird — und was ist beim letzten Mal passiert?“

Offen heißt aber nicht beliebig. „Wie stellen Sie Qualität sicher?“ ist keine gute offene Frage, sondern eine unbeantwortbare. Brauchbare offene Fragen hängen an einem Ereignis oder einem Objekt — die letzte Abweichung, dieses Prüfmittel, diese Charge — und lassen nur die Richtung frei, nicht den Gegenstand.

Triangulation: eine Antwort ist kein Nachweis

Hier stand in einer früheren Fassung dieses Beitrags eine falsche Fundstelle: 6.4.4. Das war in jeder Ausgabe falsch, denn 6.4.4 heißt 2018 wie 2026 „Communicating during the audit“ [1].

Richtig ist 6.4.7 „Collecting and verifying information“, gefolgt von 6.4.8 „Generating the audit findings“ — beide Nummern in beiden Ausgaben identisch [1]. Was die Norm dort empfiehlt, gebe ich nicht wieder; der Text ist kostenpflichtig. Die Titel allein tragen aber die Unterscheidung, auf die es ankommt: Sammeln und Verifizieren sind zwei Schritte, nicht einer, und die Feststellung entsteht erst danach in einem dritten. Dazu passt das Auditprinzip des nachweisbasierten Ansatzes, 2026 als 4.7 nummeriert [1].

Ein gut gebauter Katalog erzwingt diese Reihenfolge, statt sie dem Gedächtnis des Auditors zu überlassen. Jede offene Frage bekommt einen festen zweiten Schritt: „Zeigen Sie mir die letzten drei Aufzeichnungen dazu.“ Nicht als Kür, falls Zeit bleibt, sondern als eigene Zeile im Katalog. Die Aussage im Interview ist die eine Quelle, die Aufzeichnung oder die Beobachtung am Arbeitsplatz die zweite, unabhängige.

Der Unterschied wird im Nachgang sichtbar. Eine Feststellung, die auf einer Aussage beruht, lässt sich in der Maßnahmenbesprechung bestreiten. Eine Feststellung auf drei datierten Datensätzen nicht. Und erst die zweite trägt eine belastbare Ursachenanalyse — etwa mit der 5-Why-Methode — statt einer Ursachenzeile, die den Auditor zufriedenstellt und sonst niemanden. Wie es danach weitergeht, behandelt der Beitrag zum Umgang mit Feststellungen und Maßnahmen.

Rückverfolgbarkeit: Fragen mit Kriterien verknüpfen

Jede Frage sollte einem konkreten Abschnitt oder internen Kriterium zugeordnet sein, auch wenn sie nicht in Kapitelreihenfolge gestellt wird. Das ist der Unterschied zwischen einem Katalog, der einmal funktioniert, und einem, der auswertbar ist.

Der Nutzen zeigt sich über mehrere Audits: Produziert die Frage zu 8.5.1 Prozesslenkung standortübergreifend wiederholt Feststellungen, ist das ein systemisches Signal — genau das, was in die Managementbewertung gehört und was ein kapitelblinder Katalog nie sichtbar macht.

Gerade jetzt kommt ein zweiter Wert dazu. Mit ISO 9001:2026 verschieben sich Nummern; aus dem gemeinsamen Abschnitt 6.1 werden getrennte Unterabschnitte für Risiken und Chancen. Ein Katalog, dessen Fragen sauber auf Kriterien verdrahtet sind, lässt sich abbilden; einer, in dem die Zuordnung nur im Kopf einer Person existiert, muss neu geschrieben werden. Was daraus folgt, steht im Beitrag zu ISO 9001:2026 und internen Audits.

Den Katalog über Auditzyklen reifen lassen

Ein Fragenkatalog ist kein Dokument, das einmal geschrieben und fünf Jahre lang wiederverwendet wird. Das ist ein Reifegradsignal, das ein erfahrener Auditor bemerkt — „diese Checkliste sieht seit 2019 unverändert aus“ — und eines der Dinge, auf die im externen Audit tatsächlich geachtet wird.

Drei Bewegungen halten den Katalog am Leben. Fragen, die über mehrere Zyklen nie eine Feststellung, eine Verbesserungsmöglichkeit oder auch nur eine Rückfrage erzeugt haben, werden gestrichen oder geschärft. Neue Risiken — eine neue Anlage, ein Lieferantenwechsel, eine Reklamation mit Ursache im Prozess — erzeugen neue, genau darauf gerichtete Fragen. Und jede Feststellung aus dem letzten Zyklus wird zur Nachfassfrage im nächsten.

Einschätzung: Die nützlichste Kennzahl ist nicht die Länge des Katalogs, sondern der Anteil der Fragen, die im letzten Zyklus überhaupt etwas ausgelöst haben. Liegt er unter einem Drittel, auditieren Sie überwiegend Dokumentation. Eine Norm sagt dazu nichts; das ist Erfahrung aus Auditprogrammen.

Basiskatalog und die eigenen Anschlussfragen

Pflegen Sie einen Basiskatalog zentral — für Konsistenz über Standorte hinweg und für die Einarbeitung neuer Auditoren. Lassen Sie zugleich Raum für die Anschlussfragen, die im Audit selbst entstehen. Die Spannung ist real: zu starr, und der Auditor hört auf zuzuhören; zu locker, und die Ergebnisse werden über Auditoren und Standorte hinweg unvergleichbar.

Der Basiskatalog deckt das vertretbare Minimum ab. Alles darüber hinaus ist ein Merkmal des Verfahrens, keine Abweichung davon — vorausgesetzt, die Anschlussfrage landet hinterher im Katalog und nicht nur im Auditbericht.

Wo ein Werkzeug den Unterschied macht

An dieser Stelle bricht die Tabellenkalkulation: Die Verknüpfung von Frage, Kriterium, Feststellung und Maßnahme muss über Jahre halten, damit die auditübergreifende Auswertung möglich wird. qportal bildet Kataloge deshalb über eine hierarchische Struktur der Auditkriterien ab, sodass jede Frage mit ihrem Kriterium und den daraus entstandenen Feststellungen verbunden bleibt; die Auditseite dazu steht unter Auditmanagement.

Fazit

Ein Fragenkatalog ist keine Nacherzählung des Inhaltsverzeichnisses der Norm — und kein Dokument, das ISO 19011 von Ihnen verlangt. Verlangt wird gar keiner. Er ist das Werkzeug, mit dem aus einem Gespräch ein Nachweis wird, und daran sollte er gemessen werden.

Am Prozess orientiert, mit Neigung zu offenen Fragen, jede Frage gepaart mit einer Nachweisanforderung und rückverfolgbar auf ein Kriterium: So liefert er die Art von Nachweis, die noch trägt, wenn dieselbe Abweichung sechs Monate später im externen Audit wieder auf dem Tisch liegt.

Und wenn Sie nur eine Sache ändern: Prüfen Sie die Fundstellen in Ihrem Katalog. Wer 6.4.4 zitiert, wo 6.4.7 gemeint ist, schreibt seit zwei Ausgaben denselben Fehler fort.

Quellen

Erstquellen — Normung

1. ISO: ISO 19011:2026 — Guidelines for auditing management systems. Vierte Ausgabe, veröffentlicht 2026-05, Stand 60.60, 46 Seiten, ISO/TMBG (erarbeitet von ISO/PC 302 mit CEN/CLC/JTC 1 nach dem Wiener Abkommen). Derselbe Katalogeintrag weist ISO 19011:2018 (dritte Ausgabe) als zurückgezogen aus (Stand 95.99). Vorwort, Abschnitt 1 und Einleitung sind frei zugänglich; die Abschnitte 4 bis 7 sind kostenpflichtig und werden hier ausschließlich mit Nummer und Titel zitiert. https://www.iso.org/standard/19011 (abgerufen am 27.08.2026)
2. DIN EN ISO 9001:2015-11, Qualitätsmanagementsysteme — Anforderungen (ISO 9001:2015); Deutsche und Englische Fassung EN ISO 9001:2015. Beuth Verlag, Berlin. Verwendete Abschnitte: 9.2.1 und 9.2.2 a) bis f) einschließlich der Anmerkung zu ISO 19011.
3. ISO/TC 176 Auditing Practices Group: ISO 19011:2018 — Guidelines for auditing management systems. Stellungnahme zur Ausgabe 2018; für die Ausgabe 2026 nicht aktualisiert. https://committee.iso.org/files/live/sites/tc176/files/documents/ISO%209001%20Auditing%20Practices%20Group%20docs/Auditing%20General/APG-ISO_19011_2018.pdf (abgerufen am 27.08.2026)
4. ISO/IEC TS 17012:2024, Conformity assessment — Guidelines for the use of remote auditing methods in auditing management systems. Quelle der beiden im Vorwort der ISO 19011:2026 genannten Änderungen.
5. ISO 9000:2026, Quality management — Fundamentals and vocabulary. Fünfte Ausgabe, veröffentlicht im Mai 2026; Begriffsgrundlage der ISO 19011:2026.
6. DIN Media, Katalogeinträge: DIN EN ISO 19011:2018-10, Leitfaden zur Auditierung von Managementsystemen, derzeit gültige deutsche Norm; DIN EN ISO 19011:2026-09, Leitlinien zur Auditierung von Managementsystemen, Vorankündigung mit Erscheinungsdatum September 2026, 120 Seiten, zweisprachig (abgerufen am 27.08.2026)

Normtext ist urheberrechtlich geschützt; Anforderungen und Empfehlungen werden hier sinngemäß wiedergegeben, nicht zitiert. Von den kostenpflichtigen Abschnitten 4 bis 7 der ISO 19011 werden ausschließlich Nummern und Titel verwendet. Beratungs-, Zertifizierungs- und Content-Marketing-Seiten werden nicht als Quelle herangezogen. Wo dieser Text über die belegte Quellenlage hinausgeht, ist das als Einschätzung gekennzeichnet.