Feststellungen aus dem Audit: vom Finding bis zum Wirksamkeitsnachweis

Die Feststellung ist formuliert, die Maßnahme ist zugewiesen, der Auditbericht ist verteilt. Vierzehn Monate später steht dieselbe Beobachtung wieder im Bericht — anderes Datum, gleicher Prozess, gleiche Ursachenzeile, und die alte Maßnahme trägt seit einem Jahr den Status „erledigt“.

Das ist selten ein Motivationsproblem. Es ist ein Nachweisproblem: Die Norm verteilt die Pflichten rund um eine einzige Feststellung auf drei verschiedene Abschnitte, und die meisten Organisationen bilden diese drei Abschnitte in drei verschiedenen Systemen ab.

Warum Feststellungen versanden — der strukturelle Grund

ISO 9001:2015 verlangt in 9.2.2 e), angemessene Korrekturen und Korrekturmaßnahmen ohne unangemessene Verzögerung zu ergreifen [1]. Was die Norm nicht regelt — und auch nicht regeln kann —, ist, in welchem Datensatz das geschieht. Genau dort entsteht die Lücke.

Der typische Verlauf: Die Feststellung entsteht im Auditbericht. Die Maßnahme entsteht im Protokoll der Abschlussbesprechung oder in einer E-Mail. Die Umsetzung wird in einer Aufgabenliste des Fachbereichs verfolgt. Die Wirksamkeitsprüfung findet — wenn überhaupt — im nächsten Audit statt, geführt von jemandem, der den ursprünglichen Bewertungsmaßstab nicht kennt. Vier Datensätze, keine Verknüpfung, vier Gelegenheiten zum Abriss.

Ökonomisch ist der Abriss teurer, als er aussieht. Die American Society for Quality gliedert qualitätsbezogene Kosten in vier Kategorien: Fehlerverhütungskosten, Prüfkosten, interne Fehlerkosten und externe Fehlerkosten [2]. Ein Audit ist Prüfkosten — Geld, das bereits ausgegeben ist, bevor die erste Feststellung geschrieben wird. Eine Feststellung, die versandet, macht diese Ausgabe wertlos und lässt den Fehler in die teureren beiden Kategorien weiterwandern. Der Auditaufwand fällt trotzdem an, jedes Jahr erneut.

Einschätzung: Für diese Wanderung kursiert ein Prozentsatz vom Umsatz, der praktisch überall zitiert wird. Er ist nicht belegbar. Die ASQ selbst nennt auf ihrer Seite zu Qualitätskosten keine Umsatzquote, und die in der Literatur kursierenden Spannen widersprechen einander. Wir verzichten hier deshalb bewusst auf eine Zahl — das Argument trägt ohne sie, und eine erfundene Zahl im Managementbericht kostet Sie beim ersten Nachfragen mehr Glaubwürdigkeit, als sie je eingebracht hat.

Was die Norm an dokumentierter Information verlangt

Die auditrelevante Frage lautet nicht, ob Sie Feststellungen erfassen, sondern welche Nachweise Sie am Ende vorlegen können. ISO 9001:2015 verteilt diese Pflicht auf drei Abschnitte, die unabhängig voneinander gelten [1]:

Die letzte Zeile ist der Punkt, an dem sich die Spreu trennt. 8.7 und 10.2 sind nicht zwei Sichten auf denselben Vorgang, sondern zwei getrennte Pflichten. Abschnitt 8.7 gehört zu Kapitel 8 (Betrieb): Er beherrscht das nichtkonforme Ergebnis, damit es nicht unbeabsichtigt verwendet oder ausgeliefert wird, und entscheidet über seinen Verbleib — Korrektur, Aussonderung, Rückholung, Information des Kunden oder Annahme unter Sonderfreigabe. Eine Ursachenanalyse verlangt 8.7 an keiner Stelle. Abschnitt 10.2 gehört zu Kapitel 10 (Verbesserung): Er setzt an der Ursache an und verlangt die Wirksamkeitsprüfung.

Eine gesperrte Charge in der Wareneingangsprüfung löst deshalb typischerweise beides aus: 8.7 entscheidet über die Charge und hält fest, wer die Sonderfreigabe erteilt hat; 10.2 klärt, warum die Prüfmerkmale beim Lieferanten nicht vereinbart waren. Wer nur einen der beiden Nachweise führt, hat die andere Anforderung nicht erfüllt — auch dann nicht, wenn die Sache sachlich gelöst ist.

Ein Hinweis zur Zitierweise, weil er in Auditdiskussionen immer wieder auftaucht: 9.2.1, 9.2.2, 10.2.1, 10.2.2, 8.7.1 und 8.7.2 tragen im Normtext keine Überschriften. Wer „9.2.2 Auditprogramm“ zitiert, zitiert eine Überschrift, die es nicht gibt.

Der Lifecycle in sechs Stationen

Aus den drei Abschnitten ergibt sich ein Ablauf, der jede Feststellung von der Beobachtung bis zum belegten Abschluss trägt:

1. Feststellung erfassen. Beobachtung, verletztes Kriterium und Evidenz — drei Felder, nicht eines. Ohne die Klausel- oder Dokumentenreferenz ist eine Feststellung eine Meinung.
2. Das Ergebnis beherrschen (8.7). Ist ein konkretes Produkt, eine Charge oder eine Dienstleistung betroffen, wird zuerst über deren Verbleib entschieden und die Entscheidungsbefugnis dokumentiert. Diese Station läuft parallel, nicht danach.
3. Bewerten und einordnen. Schweregrad, betroffene Prozesse, Wiederholungscharakter. Hier entscheidet sich, ob eine Ursachenanalyse überhaupt verhältnismäßig ist — 10.2.1 b) verlangt die Bewertung des Bedarfs, nicht automatisch die Analyse.
4. Ursache bestimmen. Erst danach lässt sich Korrektur von Korrekturmaßnahme trennen. Für die Tiefe der Kette taugen die 5-Why-Methode mit durchgerechneten Beispielen bei einfachen Ereignissen und der 8D-Report nach VDA Band 8D bei Reklamationen mit Kundenbezug.
5. Umsetzen und den Wirksamkeitsmaßstab festlegen. Der Maßstab gehört an diese Stelle, nicht ans Ende: eine beobachtbare Größe, ein Zeitraum, eine Stichprobe. Etwa: die nächsten dreißig Chargenfreigaben ohne fehlende Prüfmerkmale, bewertet drei Monate nach Umsetzung.
6. Wirksamkeit prüfen und schließen (10.2.1 d), 10.2.2 b)). Geprüft wird gegen den in Station 5 festgelegten Maßstab. Erst dieses Ergebnis ist der Nachweis, den 10.2.2 b) verlangt.

Die Reihenfolge ist nicht kosmetisch. Wird der Wirksamkeitsmaßstab erst beim Abschluss gesucht, findet man immer einen, gegen den die Maßnahme wirksam aussieht.

Haupt- und Nebenabweichung: woher die Begriffe wirklich kommen

Hier korrigiert sich eine verbreitete Annahme. Haupt- und Nebenabweichung gelten weithin als Hausbrauch der jeweiligen Zertifizierungsstelle — als Ermessensspielraum des Auditors also. Das trifft nicht zu.

Beide sind definierte Begriffe in ISO/IEC 17021-1:2015, der Norm für Stellen, die Managementsysteme auditieren und zertifizieren. Abschnitt 3.12 definiert die Hauptabweichung als Nichtkonformität, die „affects the capability of the management system to achieve the intended results“ — die also die Fähigkeit des Managementsystems beeinträchtigt, die beabsichtigten Ergebnisse zu erreichen. Abschnitt 3.13 definiert die Nebenabweichung spiegelbildlich als solche, die diese Fähigkeit nicht beeinträchtigt [3].

Damit existiert ein benennbares Kriterium, und es ist verhandelbar im Sinne einer Sachdiskussion — nicht im Sinne von Geschmack. Zwei Konsequenzen folgen daraus unmittelbar:

Erstens hält eine Anmerkung zu 3.12 fest, dass mehrere Nebenabweichungen zur selben Anforderung ein systemisches Versagen belegen und damit zusammen eine Hauptabweichung darstellen können [3]. Wer denselben Punkt seit drei Zyklen als Nebenabweichung mitschleppt, sammelt kein harmloses Restrisiko, sondern baut die Begründung für eine Hochstufung selbst auf. Genau deshalb ist eine Historie je Anforderung — und nicht je Auditjahr — der praktisch wichtigste Bericht im Findings-Management.

Zweitens gilt die Definition für Zertifizierungsaudits. Für Ihr internes Audit können Sie eine eigene Klassifikation festlegen; ISO 9001 schreibt keine vor. Verwenden Sie aber die Wörter Haupt- und Nebenabweichung, sollten Sie sie mit dieser Definition verwenden, sonst reden interne und externe Bewertung systematisch aneinander vorbei. Wie die Einstufung im Zertifizierungsverfahren weiterwirkt — Hauptabweichungen müssen vor der Zertifizierungsentscheidung geschlossen sein, bei Nebenabweichungen genügt ein bewerteter Maßnahmenplan —, behandelt der Beitrag zu Ablauf und Vorbereitung des externen Audits.

Was die regulierte Welt darüber zeigt

Wie hartnäckig die Lücke ist, lässt sich in einem Bereich messen, in dem eine Behörde jede Inspektion protokolliert. Die US-amerikanische FDA veröffentlicht ihre Inspektionsbeanstandungen als Datensatz je Fiskaljahr.

In den Inspektionen des FDA-Geschäftsjahres 2025 — abgeschlossen zwischen dem 1. Oktober 2024 und dem 30. September 2025 — war 21 CFR 820.100(a) die am häufigsten zitierte Beanstandung im Medizinproduktebereich: Verfahren für Korrektur- und Vorbeugungsmaßnahmen nicht angemessen festgelegt, Rang 1 mit 279 Zitierungen. Zusammen mit 820.100(b), der Dokumentationspflicht, kamen beide auf 342 Zitierungen und damit auf 12,9 Prozent aller 2 660 Beanstandungen im Gerätebereich. Das Geschäftsjahr 2024 zeigt dasselbe Bild mit Rang 1 und 254 Zitierungen — es handelt sich also nicht um einen Einjahresausreißer [4].

Die Vorschrift selbst gibt es in dieser Form nicht mehr. Mit der Schlussregel Medical Devices; Quality System Regulation Amendments (89 FR 7496, veröffentlicht am 2. Februar 2024, in Kraft seit dem 2. Februar 2026) hat die FDA Part 820 zur Quality Management System Regulation umgebaut: Die Subparts C bis O sind reserviert, § 820.100 existiert nicht mehr, und stattdessen bindet § 820.7(b) die ISO 13485:2016 per Verweisung ein, während § 820.10(a) ein dokumentiertes Qualitätsmanagementsystem nach deren zutreffenden Anforderungen verlangt [5]. Die Zahlen oben beziehen sich also auf einen Zeitraum, der vollständig vor diesem Stichtag liegt, und auf die Rechtslage, wie sie damals galt.

Bemerkenswert ist, was dabei nicht passiert ist: Die Anforderung ist nicht entfallen, sie ist in eine Norm gewandert — ISO 13485 behandelt Korrektur- und Vorbeugungsmaßnahmen in 8.5.2 und 8.5.3. Das ist im Kleinen genau der Punkt dieses Beitrags: Die Disziplin entscheidet, nicht die Schublade, in der sie abgelegt ist.

Zwei Einschränkungen gehören zwingend dazu. Die FDA weist selbst darauf hin, dass diese Tabellen keine vollständige Auflistung aller Inspektionsbeobachtungen sind und nicht jedes FDA-483 aus den zugrunde liegenden Systemen erzeugt wird [4]. Und noch wichtiger: Das ist US-amerikanisches Medizinprodukterecht, nicht ISO 9001. Aus dieser Statistik folgt nichts für Ihre ISO-9001-Zertifizierung, und sie sagt nichts über Zertifizierungsaudits aus.

Was sie zeigt, ist ein branchenübergreifendes Muster: Wo eine Behörde über Jahre systematisch prüft, ist nicht die Erkennung von Problemen der Schwachpunkt, sondern das festgelegte, belegbare Verfahren dahinter. Genau diese Verschiebung — vom Erkennen zum Nachweisen — findet sich in ISO 9001 in 10.2.2 wieder, nur ohne Bußgeldbewehrung. Die Herkunft des Begriffs CAPA und den Umbau der US-Regulierung behandelt der Beitrag zum CAPA-Prozess und den Anforderungen aus 10.2 im Detail.

Der Anschluss ans Management-Review (9.3.2)

Der Findings-Lifecycle endet nicht beim Abschluss der letzten Maßnahme, sondern eine Ebene höher. ISO 9001:2015 führt in 9.3.2 c) die Eingaben der Managementbewertung auf, und darunter stehen ausdrücklich die Auditergebnisse sowie Nichtkonformitäten und Korrekturmaßnahmen [1]. Das ist der normative Anker dafür, dass Feststellungen die oberste Leitung erreichen müssen — nicht als Anlage, sondern als Eingabe.

Nebenbei fällt an dieser Stelle eine zweite verbreitete Behauptung. Eine jährliche Managementbewertung verlangt ISO 9001:2015 nicht. 9.3.1 spricht von geplanten Abständen; die Wörter jährlich beziehungsweise annual kommen im gesamten Normtext nicht vor [1]. Der Abstand ist Ihre Entscheidung, und Sie müssen ihn begründen können — mehr nicht.

Praktisch braucht die Managementbewertung aus dem Findings-Management drei Angaben, die sich aus einer Statusliste nicht ableiten lassen: wie viele Feststellungen mit belegter Wirksamkeitsprüfung geschlossen wurden, wie viele über ihre Frist hinaus offen sind, und welche Anforderungen wiederholt auftreten. Die dritte ist die einzige, die eine Aussage über das System erlaubt statt über die Auslastung des Qualitätsmanagements. Wie diese Auswertung mit der Programmplanung zusammenhängt, zeigt der Leitfaden zur Auditprogramm-Planung; für die Aufnahme der Feststellungen im Audit selbst hilft die interne Auditcheckliste nach ISO 9001. Welche Felder eine solche Auswertung überhaupt erst möglich machen, behandelt der Beitrag vom Audit zur Managementbewertung; was 9.3 an Eingaben und Ergebnissen verlangt, der Beitrag zur Managementbewertung nach 9.3.

Ein Ausblick: Mit der kommenden Ausgabe verschiebt sich der Akzent bei dokumentierter Information weiter in Richtung Nachweis von Umsetzung und Wirksamkeit — was den hier beschriebenen Bruch exponierter macht. Der Überblick über alle Änderungen der ISO 9001:2026 ordnet das ein.

Was ein Werkzeug dafür leisten muss

qportal führt Feststellung, Maßnahme und Wirksamkeitsprüfung als einen Vorgang mit Statusverlauf statt als getrennte Einträge in getrennten Listen — mit Verantwortlichkeit und Frist an der Feststellung selbst und mit einer Historie je Anforderung, die wiederkehrende Punkte sichtbar macht. Die Nachverfolgung der Maßnahmen bis zum belegten Abschluss beschreibt die Seite zu Maßnahmen und CAPA, den vollständigen Ablauf einer Feststellung die Dokumentation zum Findings-Lifecycle.

Fazit

Der schwächste Punkt im Findings-Management ist nicht die Erfassung und auch nicht die Maßnahme. Es ist die Stelle, an der eine Feststellung ihren Datensatz wechselt.

Solange 8.7-Entscheidung, Ursachenanalyse, Maßnahme und Wirksamkeitsprüfung in vier Werkzeugen liegen, ist der Nachweis nach 10.2.2 eine Rekonstruktionsleistung — jemand muss sie vor dem Audit von Hand zusammensuchen, und genau deshalb entsteht sie erst dort. Liegen sie in einem Vorgang, ist der Nachweis ein Nebenprodukt der Arbeit.

Wer nur eine Sache ändern will, ändere diese: Legen Sie das Wirksamkeitskriterium bei der Entscheidung über die Maßnahme fest, nicht bei ihrem Abschluss. Alles andere folgt daraus.

Quellen

1. DIN EN ISO 9001:2015-11: Qualitätsmanagementsysteme — Anforderungen (ISO 9001:2015); Deutsche und Englische Fassung EN ISO 9001:2015. Beuth Verlag, Berlin. (Abschnitte 8.7.1, 8.7.2, 9.2.2, 9.3.1, 9.3.2, 10.2.1, 10.2.2)

2. American Society for Quality (ASQ): What is Cost of Quality (COQ)? https://asq.org/quality-resources/cost-of-quality (abgerufen am 27.08.2026)

3. ISO/IEC 17021-1:2015: Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1: Requirements. Edition 1, 2015-06, ISO/CASCO. Abschnitte 3.12 und 3.13, frei einsehbar in der ISO Online Browsing Platform. https://www.iso.org/obp/ui/en/#!iso:std:iso-iec:17021:-1:ed-1:v1:en (abgerufen am 27.08.2026)

4. U.S. Food and Drug Administration, Office of Inspections and Investigations: Inspection Observations. Stand des Inhalts 16.12.2025, „FY 2025 Excel File“, Arbeitsblatt Devices; Vergleichswerte aus der FY-2024-Datei. https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/inspection-references/inspection-observations (abgerufen am 27.08.2026)

5. U.S. Food and Drug Administration: Medical Devices; Quality System Regulation Amendments. Final Rule, 89 FR 7496, veröffentlicht am 02.02.2024, in Kraft seit 02.02.2026. Aktuelle Fassung von 21 CFR Part 820 (Quality Management System Regulation), Ausgabe vom 25.08.2026, im Electronic Code of Federal Regulations. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-H/part-820 (abgerufen am 27.08.2026)

Nicht zitiert werden Beratungs-, Zertifizierungs- und Content-Marketing-Seiten. Normativer Text ist urheberrechtlich geschützt; Anforderungen sind hier mit Abschnittsbezug in eigenen Worten wiedergegeben. Wo dieser Text über die belegte Quellenlage hinausgeht, ist das als Einschätzung gekennzeichnet.