Wer sich mit Managementsystemen beschäftigt, kommt früher oder später mit der ISO 19011 in Berührung. Während Normen wie die ISO 9001 oder ISO 27001 Anforderungen an ein Managementsystem definieren, verfolgt die ISO 19011 einen anderen Ansatz. Sie beschreibt nicht, was eine Organisation umsetzen muss, sondern wie Audits geplant, durchgeführt und verbessert werden sollten.
© Storyblocks, Registriert auf Andreas Wisler
Die ISO 19011 trägt den Titel «Guidelines for auditing management systems» und richtet sich an alle Organisationen, die interne oder externe Audits durchführen. Sie dient gleichzeitig als Grundlage für zahlreiche Auditoren-Ausbildungen und wird von Unternehmen, Zertifizierungsgesellschaften und Beratern weltweit als Referenz verwendet. Obwohl sie keine zertifizierbare Norm ist, gehört sie zu den wichtigsten Dokumenten im gesamten ISO-Umfeld.
Die erste Ausgabe erschien bereits im Jahr 2002. Es folgten Überarbeitungen in den Jahren 2011, 2018 und nun 2026. Mit jeder Revision wurde die Norm an die geänderten Anforderungen der Praxis angepasst. Dabei blieb der eigentliche Aufbau über die Jahre erstaunlich stabil.
Die ISO 19011 gliedert sich weiterhin in die Themenbereiche:
- Auditgrundsätze
- Management von Auditprogrammen
- Durchführung einzelner Audits
- Kompetenz und Bewertung von Auditoren
- Anhänge mit zahlreichen praktischen Empfehlungen
Gerade diese Anhänge machen die Norm wertvoll. Sie liefern konkrete Hinweise für unterschiedliche Auditsituationen und beantworten viele Fragen, die in der Praxis immer wieder auftreten.
Die Revision aus dem Jahr 2026 verfolgt dabei keinen revolutionären Ansatz. Niemand muss seine gesamte Auditmethodik neu entwickeln. Vielmehr trägt die Norm den Entwicklungen der letzten Jahre Rechnung. Digitale Zusammenarbeit, virtuelle Arbeitsplätze, Cloud-Dienste, hybride Unternehmen und internationale Lieferketten gehören heute zum Alltag. Genau diese Veränderungen spiegeln sich nun deutlich stärker in der neuen Ausgabe wider.
Was hat sich gegenüber der Version von 2018 geändert?
Wer bereits mit der ISO 19011:2018 gearbeitet hat, wird sich in der neuen Ausgabe sofort zurechtfinden. Die Struktur der Norm bleibt praktisch unverändert. Auch die sieben bekannten Auditprinzipien wurden beibehalten. Dadurch entsteht kein zusätzlicher Schulungsaufwand.
Die zentralen Änderungen lassen sich in wenigen Bereichen zusammenfassen.
| Thema | ISO 19011:2018 | ISO 19011:2026 |
| Remote Audits | Grundsätzlich möglich, jedoch nur begrenzt beschrieben | Deutlich umfangreichere Leitlinien und eigene Definition von Remote Audits |
| Virtuelle Standorte | Nur indirekt berücksichtigt | Virtuelle Umgebungen und Cloud-Plattformen werden ausdrücklich als Auditobjekte behandelt |
| Digitale Werkzeuge | Kaum beschrieben | Einsatz digitaler Werkzeuge und moderner Technologien wird wesentlich stärker berücksichtigt |
| Lieferanten-Audits | Allgemeine Hinweise | Deutlich erweiterte Empfehlungen für Second-Party- und Supply-Chain-Audits |
| Auditoren-Kompetenz | Schwerpunkt auf klassischen Auditfähigkeiten | Ergänzt um Kompetenzen im Umgang mit digitalen Technologien und virtueller Zusammenarbeit |
| Auditprogramm | Fokus auf Planung und Durchführung | Grössere Bedeutung der Auswahl geeigneter Auditmethoden einschliesslich Remote Audits |
Zunächst betrachtet wirken diese Änderungen eher unscheinbar. In der täglichen Auditpraxis haben sie jedoch erhebliche Auswirkungen.
Remote-Audits sind ein Kernthema
Während Remote Audits in der Ausgabe 2018 eher als ergänzende Möglichkeit betrachtet wurden, erkennt die ISO 19011:2026 diese nun ausdrücklich als gleichwertige Auditmethode an. Die Erfahrungen aus der Corona-Pandemie haben gezeigt, dass viele Audits auch ohne permanente Vor-Ort-Präsenz erfolgreich durchgeführt werden können.
Das bedeutet allerdings nicht, dass künftig sämtliche Audits ausschliesslich vom Schreibtisch aus durchgeführt werden. Vielmehr fordert die Norm eine bewusste Auswahl der geeigneten Auditmethode. Je nach Auditziel kann ein Vor-Ort-Audit, ein hybrides Audit oder ein vollständig virtuelles Audit die beste Wahl sein.
Gerade im Bereich der Informationssicherheit bieten Remote Audits erhebliche Vorteile. Richtlinien, Sicherheitskonzepte, Risikoanalysen oder Berechtigungskonzepte liegen heute fast ausschliesslich elektronisch vor. Auch Interviews mit Mitarbeitenden lassen sich online durchführen.
Anders sieht es bei physischen Sicherheitsmassnahmen aus. Zutrittskontrollen, Serverräume, Brandmeldeanlagen oder der Umgang mit vertraulichen Unterlagen lassen sich häufig nur eingeschränkt über eine Kamera beurteilen. Hier bleibt die persönliche Begehung weiterhin unverzichtbar.
Die eigentliche Stärke der neuen ISO 19011 liegt deshalb nicht darin, Remote Audits zu bevorzugen. Vielmehr unterstützt sie Auditoren dabei, für jede Situation die passende Vorgehensweise auszuwählen.
Virtuelle Standorte gehören zum Auditumfang
Viele Unternehmen betreiben heute kaum noch ausschliesslich physische Standorte. Microsoft 365, Azure, AWS, Cloud-Anwendungen, virtuelle Server oder SaaS-Plattformen bilden einen wesentlichen Bestandteil der Geschäftsprozesse.
Die ISO 19011:2026 trägt dieser Entwicklung Rechnung und spricht ausdrücklich von physischen und virtuellen Standorten. Auditoren sollen deshalb nicht mehr ausschliesslich Gebäude oder Büros betrachten, sondern sämtliche relevanten digitalen Umgebungen in ihre Auditplanung einbeziehen. Dies entspricht der Realität moderner Unternehmen wesentlich besser als die bisherige Formulierung.
Digitale Kompetenzen werden wichtiger
Mit der zunehmenden Digitalisierung verändern sich auch die Anforderungen an Auditorinnen und Auditoren.
Während früher vor allem Interviewtechniken, Dokumentenprüfung und Prozessverständnis im Mittelpunkt standen, müssen Auditoren heute zusätzlich digitale Werkzeuge sicher beherrschen. Bildschirmfreigaben, gemeinsame Dokumentenplattformen, Videokonferenzen, Cloud-Anwendungen oder elektronische Nachweise gehören mittlerweile zum normalen Auditalltag.
Die neue ISO 19011 berücksichtigt diese Entwicklung ausdrücklich. Auditoren sollen nicht nur Managementsysteme verstehen, sondern auch die eingesetzten Technologien sicher anwenden können. Dabei geht es weniger um tiefgehende IT-Kenntnisse als vielmehr um den professionellen Umgang mit digitalen Auditmethoden.
Bisher zeigt sich deutlich: Die neue Ausgabe verändert nicht die Grundidee eines Audits. Sie modernisiert vielmehr die Werkzeuge und Methoden, mit denen Audits heute durchgeführt werden.
Lieferanten-Audits gewinnen an Bedeutung
Eine der auffälligsten Neuerungen der ISO 19011:2026 betrifft Audits innerhalb der Lieferkette.
Kaum ein Unternehmen arbeitet heute noch vollständig unabhängig. Cloud-Anbieter, externe Rechenzentren, Softwareentwickler, Managed Security Service Provider, Logistikunternehmen oder Outsourcing-Partner übernehmen Aufgaben, die früher intern erledigt wurden. Dadurch entstehen neue Risiken, die sich unmittelbar auf das eigene Managementsystem auswirken können.
Bereits verschiedene Managementsystemnormen verlangen heute, externe Dienstleister angemessen zu überwachen. Die ISO/IEC 27001 fordert beispielsweise die Steuerung von Lieferantenbeziehungen, die ISO 9001 behandelt ausgelagerte Prozesse und auch andere Managementsysteme legen grossen Wert auf die Kontrolle externer Partner.
Die ISO 19011:2026 unterstützt Unternehmen nun deutlich stärker bei der Planung und Durchführung solcher Lieferanten-Audits.
Dabei geht es nicht nur um klassische Vor-Ort-Besuche. Viele Informationen können bereits im Vorfeld digital bewertet werden. Zertifikate, Auditberichte, Sicherheitsnachweise oder Kennzahlen liefern häufig ein hervorragendes Bild über die Leistungsfähigkeit eines Lieferanten. Erst wenn dabei Auffälligkeiten auftreten oder besonders kritische Dienstleistungen betroffen sind, wird ein umfassendes Vor-Ort-Audit erforderlich.
Insbesondere Unternehmen mit einem ISMS profitieren von diesem Ansatz. Statt sämtliche Lieferanten mit demselben Aufwand zu prüfen, können Audits risikoorientiert geplant werden. Kritische Cloud-Anbieter oder Betreiber zentraler IT-Systeme erhalten dadurch deutlich mehr Aufmerksamkeit als Dienstleister mit geringem Einfluss auf die Informationssicherheit.
Die neue Norm liefert hierfür zahlreiche praktische Empfehlungen und verdeutlicht, dass Lieferanten-Audits heute ein integraler Bestandteil eines wirksamen Auditprogramms sind.
Was bedeutet die neue ISO 19011:2026 für Unternehmen?
Viele Verantwortliche stellen sich nun die Frage, ob aufgrund der neuen Ausgabe unmittelbarer Handlungsbedarf besteht.
Die kurze Antwort lautet: Nein.
Die ISO 19011 ist eine Leitlinie. Sie enthält keine verpflichtenden Anforderungen und führt daher nicht automatisch zu neuen Auditfeststellungen oder Nichtkonformitäten. Unternehmen müssen ihre Managementsysteme also nicht grundlegend anpassen.
Dennoch lohnt sich ein Blick auf die neue Ausgabe.
Wer interne Audits durchführt, sollte prüfen, ob die bestehenden Auditprogramme noch zur heutigen Arbeitsweise passen. Viele Organisationen arbeiten inzwischen hybrid, nutzen Cloud-Dienste oder beschäftigen Mitarbeitende an verschiedenen Standorten. Häufig wurden die Auditprogramme jedoch nie entsprechend angepasst.
Auch die eingesetzten Auditmethoden verdienen eine kritische Betrachtung. Muss wirklich jedes Interview vor Ort stattfinden? Lassen sich Dokumentenprüfungen oder Managementgespräche effizienter online durchführen? Können verschiedene Auditmethoden sinnvoll kombiniert werden?
Ebenso sollten Unternehmen ihre Lieferantenbewertung überprüfen. Gerade im Bereich der Informationssicherheit werden kritische Dienstleistungen zunehmend ausgelagert. Ein modernes Auditprogramm berücksichtigt diese Entwicklung und integriert externe Partner systematisch in die Auditplanung.
Schliesslich lohnt sich auch ein Blick auf die Kompetenzen der Auditorinnen und Auditoren. Neben fundierten Fachkenntnissen gewinnen digitale Fähigkeiten, Kommunikationskompetenz und der sichere Umgang mit virtuellen Auditwerkzeugen immer stärker an Bedeutung.
Fazit
Die ISO 19011:2026 gehört sicherlich nicht zu den spektakulärsten Normen der vergangenen Jahre. Dennoch ist sie eine wichtige Weiterentwicklung der bisherigen Leitlinie und trägt den Veränderungen moderner Organisationen konsequent Rechnung.
Remote Audits werden als selbstverständlicher Bestandteil der Auditpraxis behandelt. Virtuelle Arbeitsplätze und Cloud-Umgebungen finden endlich den Stellenwert, den sie in der Unternehmensrealität längst besitzen. Gleichzeitig rücken Lieferanten und externe Dienstleister stärker in den Fokus der Auditplanung.
Für Unternehmen bedeutet dies vor allem eines: Die bewährten Auditgrundsätze bleiben erhalten. Niemand muss sein Auditprogramm komplett neu entwickeln. Wer die Revision jedoch zum Anlass nimmt, bestehende Prozesse kritisch zu hinterfragen und an die aktuelle Arbeitsweise anzupassen, wird langfristig effizientere und aussagekräftigere Audits durchführen können.
Gerade Informationssicherheitsbeauftragte, Qualitätsmanager und interne Auditoren sollten sich deshalb mit der neuen Ausgabe beschäftigen.
Gute Audits hängen jedoch nicht davon ab, ob sie im Besprechungszimmer oder per Videokonferenz stattfinden. Entscheidend ist vielmehr, dass die gewählte Methode zum Auditziel passt und ausreichend belastbare Nachweise liefert.