Weiterbildungsnachweise für Audits: Was Prüfer sehen wollen

Schulungsnachweise werden von verschiedenen Seiten verlangt: von Zertifizierungsauditoren bei Managementsystemen, von Aufsichtsbehörden im Datenschutz, in der Finanzaufsicht oder im Arbeitsschutz, von Kunden in Lieferantenaudits und intern von der Revision. Die Fragen ähneln sich: Wer musste geschult werden? Wer wurde geschult? Womit, wann, mit welchem Ergebnis? Und was ist mit denen, deren Schulung abgelaufen ist?

Prüfer arbeiten mit Stichproben. Sie wählen eine Person, eine Anforderung und einen Zeitraum und lassen sich zeigen, dass die Kette geschlossen ist: Die Anforderung ist bekannt, die Person ist der Anforderung zugeordnet, die Schulung hat stattgefunden, der Inhalt passt, das Ergebnis ist dokumentiert, die Gültigkeit läuft noch.

Daraus folgen die Bestandteile eines prüffesten Nachweises. Er nennt die Person, die Schulung mit Version, das Datum, das Ergebnis einer Lernerfolgskontrolle, den Aussteller und die Gültigkeit. Er ist unverändert seit der Ausstellung und lässt sich auf Echtheit prüfen — ideal über einen Prüfcode oder eine Signatur, damit der Auditor nicht dem Unternehmen glauben muss.

Einzelne Nachweise beweisen wenig, wenn unklar ist, wer welche Schulung braucht. Der Schulungsplan verbindet Anforderungen mit Rollen: Alle brauchen Datenschutz und Informationssicherheit, die Buchhaltung zusätzlich Geldwäsche, die Leitung Cybersicherheit auf Leitungsebene, alle mit KI-Werkzeugen KI-Kompetenz. Aus dem Plan ergibt sich der Soll-Stand, aus den Nachweisen der Ist-Stand.

Im Audit lässt sich dann zeigen, wie hoch die Erfüllungsquote je Schulung ist, wer Handlungsbedarf hat und was gegen Lücken getan wird. Eine Erfüllungsquote unter hundert Prozent ist kein Drama, wenn der Weg zur Schließung dokumentiert ist — etwa durch Erinnerungen und Fristen.

Viele Schulungen haben eine begrenzte Gültigkeit. Im Arbeitsschutz verlangt § 12 ArbSchG Wiederholung, wenn erforderlich, und die Unfallversicherungsträger konkretisieren das in ihren Vorschriften. Im Datenschutz und in der Informationssicherheit haben sich jährliche oder zweijährliche Auffrischungen eingebürgert. Wer Gültigkeiten nicht nachhält, steht im Audit mit abgelaufenen Nachweisen da.

Bewährt ist ein Zyklus: Zuweisung mit Frist, Abschluss mit Nachweis und Gültigkeitsdatum, rechtzeitig vor Ablauf eine neue Zuweisung mit Erinnerung. Ein Prüfbericht, der jeden Zyklus mit Nachweis-Code und versandten Erinnerungen zeigt, beantwortet die meisten Fragen des Auditors, bevor er sie stellt.

Schulungsnachweise sind personenbezogene Daten. Für den Nachweis gegenüber Auditoren dürfen sie verarbeitet werden, aber Zweckbindung und Datenminimierung gelten. Für Stichproben genügt meist ein Bericht mit Personalnummer oder Name, Schulung, Datum, Ergebnis und Gültigkeit; detaillierte Antworten aus Wissenstests braucht ein Auditor in der Regel nicht.

Klare Löschfristen und Zugriffsrechte gehören dazu. Und Ergebnisse aus Pflichtschulungen sollten nicht ohne Weiteres in Leistungsbeurteilungen einfließen — in Betrieben mit Betriebsrat ist das ohnehin ein Thema für die Mitbestimmung.

Auditoren finden bei Schulungsnachweisen immer wieder dieselben Schwächen. Die häufigste: Es gibt Nachweise, aber keinen Plan, aus dem hervorgeht, wer welche Schulung braucht. Dicht dahinter folgen abgelaufene Gültigkeiten ohne erkennbare Maßnahme, Schulungsinhalte ohne Versionsstand und Nachweise, die sich nicht eindeutig einer Person zuordnen lassen.

Solche Feststellungen lassen sich vermeiden, wenn Schulungsplan, Inhalte und Nachweise in einem System zusammenlaufen und der Erfüllungsstand regelmäßig — nicht erst vor dem Audit — ausgewertet wird.