Ausgangslage

knoell Germany GmbH mit Hauptsitz in Mannheim ist einer der international führenden Spezialisten für die regulatorische Registrierung chemischer Produkte und Substanzen. Als familiengeführtes, unabhängiges Beratungsunternehmen mit über 30 Jahren Erfahrung betreut knoell weltweit Kunden aus der Chemie- und Life-Science-Branche und beschäftigt mit der knoell Gruppe über 600 Mitarbeitende in mehr als 13 Ländern.

Das Unternehmen betreibt ein integriertes Managementsystem nach ISO 9001 und ISO 27001. Für belastbare interne Audits braucht es mehr als Normwissen – es braucht ein Team, das operative Prozesse genauso versteht wie Informationssicherheitsrisiken, und das auch dann souverän bleibt, wenn Auditsituationen unbequem werden.

Als ein erfahrenes Teammitglied ausschied und aufgrund des gestiegenen Auditumfangs ein zweites neues Teammitglied hinzugezogen werden musste, stand knoell vor der Aufgabe, sein fünfköpfiges Auditorenteam neu aufzustellen – und zugleich die Auditqualität nicht nur zu halten, sondern gezielt weiterzuentwickeln.

Die Herausforderung

Ein neues Teammitglied brachte aus dem Bereich Operations exzellentes Prozesswissen mit – ideal für die ISO-9001-Perspektive –, aber noch wenig Erfahrung in der Informationssicherheit und keine Auditpraxis. Die Aufgabe: aus einem fachlich versierten, aber auditorisch unerfahrenen Rookie in überschaubarer Zeit eine vollwertige Lead-Auditorin zu machen – begleitet von Lorenz Strenge, Unternehmensberater bei GSG, als Mentor, erfahrener Lead-Auditor und zertifizierter Informationssicherheitsauditor, orientiert an den Auditgrundsätzen der ISO 19011.

Das Vorgehen: Ein fünfstufiges Integrationsmodell

Gemeinsam mit GSG entwickelte knoell einen strukturierten, mentorgestützten Ausbildungspfad über sechs bis neun Monate:

1. Grundlagenerarbeitung der relevanten Normen (ISO 9001, ISO 27001) und der Auditgrundsätze nach ISO 19011
2. Einarbeitung in den etablierten Auditprozess und das Auditprogramm von knoell
3. Beobachterrolle bei mindestens drei realen Audits, um Auditlogik, Gesprächsführung und Dokumentation live mitzuerleben
4. Rolle als Co-Auditor in drei bis vier weiteren Audits – mit wachsender Eigenverantwortung bei Fragestellung, Nachweisprüfung und Bewertung
5. Rolle als Lead-Auditor mit vollständiger eigenständiger Planung, Durchführung und Nachbereitung des Audits

Kontinuierlicher Austausch im Auditorenteam

Die Ausbildung endet nicht mit der ersten eigenständigen Lead-Auditor-Rolle. Um das gesamte Team dauerhaft auf einem hohen Niveau zu halten, wurden zwei regelmäßige Jour-Fixe-Formate etabliert:

Im ersten Termin berichten die Auditoren aus konkreten Auditsituationen der jüngeren Vergangenheit, um ein einheitliches Verständnis im Team sicherzustellen. Zugleich werden hier Änderungen am Auditprogramm besprochen, sodass alle Teammitglieder stets auf demselben Stand sind.

Im zweiten Termin geht es gezielt um die Weiterentwicklung der Bewertungskompetenz: Lorenz Strenge bereitet dafür konkrete Auditsituationen auf, die das Team gemeinsam bewertet und diskutiert – etwa, wie eine bestimmte Feststellung einzustufen wäre. In der anschließenden Auflösung wird gemeinsam erarbeitet, wie die Situation tatsächlich zu bewerten ist. Dieses Format wurde vom Auditorenteam als besonders hilfreich hervorgehoben, weil es die Bewertungssicherheit im Team kontinuierlich schärft – unabhängig vom individuellen Erfahrungsstand.

Der Umgang mit kritischen Auditsituationen als Teil der Ausbildung

Normwissen allein macht noch keinen guten Auditor. Ein zentraler Bestandteil des Mentorings war deshalb der Umgang mit Situationen, die sich nicht aus dem Lehrbuch lösen lassen:

• Verschleierte Prozesslücken: Wenn Auditierte mit vorbereiteten Antworten oder gezielt ausgewählten Nachweisen den Eindruck erwecken wollen, ein Prozess laufe reibungsloser als er tatsächlich ist, braucht es Fingerspitzengefühl und gezielte Nachfragetechnik, um zum echten Prozessstand vorzudringen.
• Wiederkehrende Abweichungen: Taucht eine Abweichung trotz eingeleiteter Korrekturmaßnahmen erneut auf, stellt sich die Frage nach der richtigen Bewertungsschärfe – reicht eine erneute Minor-Abweichung, oder ist die Eskalation zu einer Major-Abweichung angezeigt?
• Grenzfälle zwischen Beobachtung und Abweichung: Nicht jeder Verbesserungshinweis ist automatisch eine Abweichung, aber nicht jede Auffälligkeit darf als bloße Beobachtung „kleingeredet“ werden. Diese Bewertungsschärfe ist bis heute ein Thema, an dem auch erfahrene Teammitglieder kontinuierlich arbeiten.
• Nähe zum eigenen Fachbereich: Gerade weil das Team bewusst heterogen und crossfunktional besetzt ist, kennen Auditoren mitunter „ihren“ ursprünglichen Fachbereich besonders gut. Das wird im Team nicht als Risiko, sondern als Stärke verstanden – solange die Unabhängigkeit konsequent gewahrt bleibt, etwa durch klare Rollentrennung und das Vieraugenprinzip im Auditteam.

Auch der Umgang mit weiteren Grenzsituationen – etwa wenn Auditnachweise unter Verweis auf Vertraulichkeit zurückgehalten werden oder wenn hochrangige Führungskräfte auditiert werden – wurde gezielt im Mentoring reflektiert.

Das Ergebnis

Aus dem ehemaligen Rookie ist inzwischen eine vollwertige, eigenständig agierende Lead-Auditorin geworden. knoell musste im Zuge des Teamausbaus gleich zwei neue Mitglieder erfolgreich integrieren – ein Beleg dafür, dass der Ausbildungsansatz nicht nur für den Einzelfall funktioniert, sondern strukturell tragfähig und wiederholbar ist. Die Gesamtteamstärke von fünf Auditoren konnte dabei jederzeit sichergestellt werden.

Das Feedback aus dem Unternehmen ist durchweg positiv: Die Arbeit des Auditorenteams wird als hoher Wertbeitrag für die Organisation wahrgenommen, auch die Rückmeldungen den auditierten Bereichen fallen positiv aus. Als besonderer Erfolgsfaktor zeigt sich die bewusst heterogene, crossfunktionale Teamzusammensetzung: Weil Auditoren aus unterschiedlichen Fachbereichen zusammenarbeiten, entsteht ein Auditansatz, der operativer Praxis und Informationssicherheitsperspektive gleichermaßen gerecht wird.