Ja. Nach Abschnitt 9.2.2 ist das Unternehmen für das Auditprogramm verantwortlich, unabhängig davon, wer auditiert.
Es geht um drei Arten von Dokumenten, die leicht verwechselt werden:
- Auditprogramm: Ihr mehrjähriger Zeitplan dafür, welche Bereiche wann, wie und von wem auditiert werden. Es gehört Ihnen.
- Auditverfahren: Ihre Beschreibung, wie diese Audits in Ihrem Unternehmen ablaufen, einschließlich der Auswahl der Auditoren und des Umgangs mit Feststellungen. Auch sie gehört Ihnen. Die Norm verlangt dafür kein eigenes Dokument, aber die meisten Unternehmen führen eines, und Zertifizierungsauditoren erwarten, es zu sehen.
- Auditplan und Auditbericht: der Plan für ein bestimmtes Audit und der Bericht, der daraus entsteht. Diese beiden schreibt der externe Auditor.
Der Zertifizierungsauditor fragt nach allen dreien, und ein fehlendes Programm ist eine Feststellung, auch wenn das Audit selbst gut gemacht war.
Der Aufwand ist gering. Das Programm eines kleinen Unternehmens passt auf eine Seite: eine Tabelle mit den drei Jahren des Zertifikatszyklus, den jeweils auditierten Bereichen, dem geplanten Monat und dem Auditor. Ein guter externer Auditor bringt beim ersten Mal eine Vorlage mit und hilft beim Ausfüllen. Danach ist es mit etwa einer Stunde Pflege jährlich getan.