Wie wird eine digitale Aktenordnung für die TÜRKAK-Auditierung aufgebaut?

Worin besteht der Kern einer auditbereiten Aufzeichnungsordnung?

Jede Aufzeichnung muss mit der Anforderung, die sie erfüllt, ihrer gültigen Version, ihrem Eigentümer, der Genehmigungshistorie und den verknüpften Nachweisen auffindbar sein. Fehlende, abgelaufene oder unbefugte Aufzeichnungen dürfen nicht als abgeschlossen gelten.

Auditvorbereitung bedeutet nicht, vor dem Audit Dateien zusammenzusuchen. Sie bedeutet, dass der tägliche Arbeitsablauf Personal-, Geräte-, Methoden-, Berichts-, Abweichungs- und Dokumentaufzeichnungen in derselben Identitätskette erzeugt. So kann das Team nicht nur die Existenz des Dokuments zeigen, sondern auch aus welchem Vorgang und durch wen die Aufzeichnung entstanden ist.

Wie wird das Gerüst der digitalen Aufzeichnungen aufgebaut?

Kurze Antwort: Zuerst wird ein Anforderungsverzeichnis erstellt; anschließend wird jede Anforderung mit Prozess, Aufzeichnungsart, verantwortlicher Rolle, Aufbewahrungsregel und Verifizierungsmethode abgeglichen.

1. Fixieren Sie den Umfang: Verwalten Sie Akkreditierungsumfang, Niederlassungen, Tätigkeiten und die anwendbaren TÜRKAK-/Normdokumente in einem einzigen Anforderungsdatensatz.
2. Erstellen Sie ein Aufzeichnungsverzeichnis: Definieren Sie Aufzeichnungsfamilien wie Personalqualifikation, Gerät, Umweltbedingungen, Methode, Arbeitsauftrag, Rohdaten, technische Prüfung, Bericht, Beschwerde und Abweichung.
3. Bauen Sie die Identitätskette auf: Vergeben Sie für jeden Arbeitsauftrag, jedes Personal, jedes Gerät und jeden Bericht eine unveränderliche Systemidentität. Der Dateiname allein soll nicht die Identität sein.
4. Trennen Sie Version und Genehmigung: Halten Sie die Status Entwurf, in Prüfung, genehmigt und außer Kraft getreten offen; überschreiben Sie die vorherige Version nicht mit der neuen Datei.
5. Fügen Sie Fail-closed-Schwellen hinzu: Bei einem Gerät mit abgelaufener Gültigkeit, Personal außerhalb des Scopes, fehlendem Rohnachweis oder nicht abgeschlossener technischer Prüfung darf der Bericht nicht geschlossen werden.
6. Bewahren Sie den Vorgangsverlauf: Erfassen Sie Erstellung, Ansicht, Änderung, Genehmigung, Export und Befugnisänderungen mit Zeit, Benutzer und Begründung.
7. Bereiten Sie die Auditansicht vor: Geben Sie dem Auditor nur umfangsbezogenen, schreibgeschützten und befristeten Zugriff; zu jedem Nachweis soll die Quelle zurückverfolgt werden können.

Welche Felder sollte ein Nachweispaket tragen?

Die Felder jedes Aufzeichnungstyps können unterschiedlich sein; der gemeinsame Kern sind Identität, Kontext, Version, Verantwortung, Zeit und Integritätsinformation.

Wie sollten Norm- und Dokumentversionen verwaltet werden?

Wenn eine PDF ins Archiv geladen wird, ist die Kontrolle nicht abgeschlossen. Auch Quelle, Dokumentcode, Ausgabe, Veröffentlichungs-/Inkrafttretensdatum, Eigentümer, betroffene Prozesse und das Datum der regelmäßigen Überprüfung sind zu erfassen.

Der offizielle Katalog der ISO weist die 3. Ausgabe der ISO/IEC 17020 von März 2026 als veröffentlicht aus. Eine solche Änderung sollte im System nicht nur einen Dateiaustausch, sondern Aufgaben für Auswirkungsanalyse, Checklistenaktualisierung, Schulungsbedarf und Anwendungsnachweis erzeugen. Die Organisation sollte die Übergangsbedingungen zusätzlich über ihren Akkreditierungsumfang und die aktuellen Ankündigungen/Dokumente der TÜRKAK verifizieren.

Auch die Antragsseite der TÜRKAK bietet je nach Konformitätsbewertungsbereich unterschiedliche Dokumentenlisten. Kopieren Sie daher nicht die Ordnerstruktur einer anderen Organisation, sondern verknüpfen Sie die für Ihren eigenen Umfang gültige Dokumentenliste mit dem kontrollierten externen Dokumentenbestand.

Wie wird die Verbindung von Personal, Gerät und Bericht dargestellt?

Der Auditor sollte auf einem Bildschirm oder über nachvollziehbare Verknüpfungen dieser Kette folgen können: Arbeitsauftrag → Methode/Umfang → zugewiesenes Personal → Qualifikation zum Zeitpunkt des Vorgangs → verwendetes Gerät → Kalibrier-/Zwischenprüfungsstatus zum Zeitpunkt des Vorgangs → Rohnachweis → technische Prüfung → veröffentlichter Bericht.

Eine heute gültig erscheinende Qualifikation des Personals belegt allein nicht die damalige Zuweisung. Das System sollte den Scope und den Gültigkeitsstatus zum Zuweisungszeitpunkt bewahren. Ebenso ersetzt das aktuelle Zertifikat eines Geräts nicht dessen Status am Messtag. Die Personenzuweisungskontrolle nach EN ISO 9712 und und der Leitfaden zum Sperren von Geräten mit abgelaufener Gültigkeit vertiefen diese beiden Schwellen.

Wie werden Zugriff, Sicherung und Integrität verifiziert?

Dass Aufzeichnungen zugänglich sind, bedeutet nicht, dass sie öffentlich sind. Rollen- und umfangbasierte Befugnisse, mehrstufige Authentifizierung, befristeter Auditorzugriff und die Protokollierung sensibler Exporte sollten gemeinsam angewandt werden.

Die ISO/IEC 27001 behandelt Informationssicherheit mit den Zielen Vertraulichkeit, Integrität und Verfügbarkeit im Rahmen des Risikomanagements. Auch der Leitfaden der KVKK zur Sicherheit personenbezogener Daten betont Zugriffsberechtigung, Protokollierung, Sicherung sowie administrative und technische Maßnahmen. Die technische Entsprechung: nicht nur Backups erstellen, sondern die Wiederherstellung mit datiertem Ergebnis belegen; nicht nur Logs führen, sondern Logintegrität und Zugriffsgrenze schützen.

• Verknüpfen Sie mit dem Sicherungsplan Aufzeichnungsklasse, Wiederherstellungsbedarf, Verantwortlichen und Testhäufigkeit.
• Verifizieren Sie im Wiederherstellungstest, dass die ausgewählten Beispiele lesbar sind und ihre Verknüpfungen erhalten bleiben.
• Schließen Sie das für das Audit eingerichtete Konto zum Enddatum automatisch.
• Kopieren Sie Anhänge mit personenbezogenen Daten nicht unnötig; beschränken Sie den Zugriff auf den Umfang.

Wie wird eine Auditprobe durchgeführt?

Die ISO 19011 bietet Leitlinien zu Auditprinzipien, Programmmanagement und Auditorqualifikation. Auch die interne Probe sollte statt eines zufälligen Ordnerumgangs umfangs- und nachweisbasiert durchgeführt werden.

1. Wählen Sie zufällig einen aktuellen Bericht aus und verfolgen Sie ihn bis zur Quelle zurück.
2. Reproduzieren Sie den Personal- und Gerätestatus zu einem zurückliegenden Datum.
3. Prüfen Sie, dass eine außer Kraft getretene Prozedur für neue Aufträge nicht wählbar ist.
4. Sehen Sie, dass das System bei Szenarien mit fehlendem Anhang, unbefugter Genehmigung und gescheitertem Wiederherstellungstest stoppt.
5. Verfolgen Sie zu einer Abweichung Ursache, Maßnahme, Verifizierung und Abschlusssnachweise.
6. Testen Sie, dass die schreibgeschützte Auditorrolle nicht auf Aufzeichnungen außerhalb des Umfangs zugreifen kann.

Das Ergebnis der Probe ist kein Stapel von Screenshots, sondern ein Verfolgungsdatensatz aus identifizierter Lücke, Risiko, Verantwortlichem, Zieldatum, Korrekturnachweis und Wirksamkeitsverifizierung.

In welchem Umfang sollte der Pilot mit VizyonTech aufgebaut werden?

Vizyon Periyodik oder einer für Ihre Organisation passenden VizyonTech-Lösung: Wählen Sie eine einzige reale Berichtsfamilie. Bauen Sie die Kette aus Personenzuweisung, Geräteeignung, Feldformular, technischer Genehmigung, Bericht und Revision von Anfang bis Ende auf.

Testen Sie im Pilot fünf Fehlerszenarien: Gerät mit abgelaufener Gültigkeit, Personal außerhalb des Scopes, veraltete Prozedur, fehlender Rohnachweis und unbefugte Genehmigung. Warnt das System in diesen Fällen nur und fährt fort, ist die Aufzeichnungsordnung nicht auditbereit. Erfolgskriterium ist, dass es den Fehler verhindert, die Ursache verständlich macht und den nach der Korrektur entstehenden neuen Vorgangsverlauf bewahrt.