Das TISAX® Audit - So gelangen Sie sicher durch die TISAX® Prüfung

Das TISAX® Audit und der Unterschied zum Assessment

Das TISAX® Audit ist der Prüfprozess zur Erlangung eines TISAX® Labels. Oft wird der Begriff auch mit TISAX® Assessment durcheinandergebracht, wobei beide im Grunde dasselbe bedeuten. Das begriffliche Durcheinander ist vermutlich auf Übersetzungsunschärfen zurückzuführen. Maßgeblich für den TISAX® Prozess ist nämlich das TISAX® Teilnehmerhandbuch. Dieses wurde ursprünglich auf Englisch verfasst. 

In der englischsprachigen Version wird der Prüfprozess konsequent als Assessment bezeichnet, die Prüfenden als Auditor. In der deutschen Version des Handbuchs wird das Assessment dagegen meist mit Prüfung übersetzt, es gibt begrifflich allerdings weiterhin drei Assessmentlevel, keine Prüf-Level. Die Prüfenden heißen mal Prüfer, mal Auditor. In der Praxis werden beide Begriffe gleichrangig nebeneinander genutzt: TISAX® Audit und TISAX® Assessment. Inhaltlich gibt es aber keine Unterschiede. 

Was ist mit Assessment Level gemeint?

TISAX® kennt in Summe acht verschiede Prüfziele. Theoretisch könnte ein Unternehmen daher acht unterschiedliche TISAX® Label sammeln (vgl. Tabelle 1).

 Bei AL 2 muss das zu überprüfende Unternehmen den VDA ISA Fragebogen ausfüllen und diesen zusammen mit einer kompletten ISMS-Dokumentation an den ausgewählten Auditor schicken. Dieser wird die Unterlagen prüfen und mithilfe der übermittelten Informationen ein Auditgespräch vorbereiten. Dieses wird remote geführt.

Der maßgebliche Unterschied zwischen AL 3 und AL 2 ist das Auditverfahren. Es läuft bei AL 3 nicht remote ab, sondern live. Der Auditor wird sich vor Ort im Unternehmen persönlich davon überzeugen, dass die im ISMS definierten Richtlinien und Maßnahmen auch tatsächlich und in wirksamer Art und Weise umgesetzt sind.  

Dabei gilt: Die Assessment Level sind nicht frei wählbar, sondern fix an die Prüfziele und die damit verbundenen TISAX® Label gebunden (vgl. Abb. 1). Sobald ein Unternehmen ein TISAX® Label anstrebt, für das AL 3 vorgeschrieben ist, wird das gesamte Audit AL 3-konform durchgeführt.

Wer führt ein TISAX® Audit durch und welche Parteien sind involviert? 

TISAX® Prüfungen dürfen nur von Prüfdienstleistern durchgeführt werden, die über eine entsprechende TISAX® Zulassung verfügen. Diese wird exklusiv von der ENX Association erteilt, dem Zusammenschluss der europäischen Automobilindustrie. Am eigentlichen Prüfprozess für AL 2 und AL 3 sind lediglich das zu prüfende Unternehmen auf der einen und der Prüfdienstleister auf der anderen Seite beteiligt. Die Prüfergebnisse werden im Mitgliederbereich des ENX Portals veröffentlicht.

Um ein TISAX®-konformes ISMS umzusetzen und sich erfolgreich auf das Audit vorzubereiten, holen sich Unternehmen in der Regel professionelle Unterstützung ins Haus – zum Beispiel durch die Zusammenarbeit mit den TISAX® Experten von DataGuard.

Was ist das Ziel der TISAX® Überprüfung?

Die Überprüfung durch einen TISAX® Prüfdienstleister soll sicherstellen, dass teilnehmende Unternehmen die TISAX® Vorgaben erfüllen. Maßstab dafür sind die je nach angestrebtem TISAX® Label definierten Prüfziele und die dafür zugrunde gelegten Assessment Level. Aus Sicht der teilnehmenden Unternehmen geht es darum, die angestrebten TISAX® Label zu erhalten. Diese sind im Automobilsektor die Voraussetzung zur Marktteilhabe.

Lesen Sie auch unseren umfassenden Leitfaden zu TISAX®

Wie läuft ein TISAX® Audit ab?

Interessierte Unternehmen müssen sich über das ENX Online-Portal zur Teilnahme am TISAX® Verfahren anmelden. Dabei werden unter anderem die angestrebten Prüfziele abgefragt. Erst nach erfolgter Anmeldung und Festlegung der Prüfziele können sich teilnehmende Unternehmen dann einen akkreditierten Prüfdienstleister aussuchen und diesen mit der Überprüfung beauftragen. Dafür müssen dem Auditor von Seiten des Unternehmens der ausgefüllte VDA ISA Fragenkatalog und eine Dokumentation des etablierten ISMS zur Verfügung gestellt werden. Nach Überprüfung dieser Unterlagen sowie entsprechender Nachweise und einem remote oder vor Ort durchgeführten Audit erteilt der Auditor am Ende das bzw. die gewünschten TISAX® Label.

Wichtig zu wissen: Der VDA ISA Fragenkatalog fordert für jede im Unternehmen umgesetzte Maßnahme eine Selbsteinschätzung hinsichtlich des Reifegrads ein. Diese Angaben wird der Auditor überprüfen und mit der Realität abgleichen, indem er sich geeignete Nachweise zeigen lässt. Es reicht also nicht, interne Richtlinien und Policies nur zu formulieren. TISAX® Teilnehmer müssen zeigen können, dass sie diese Richtlinien auch tatsächlich umsetzen.

Wie lange dauert ein TISAX® Audit?

Die Vorbereitung kann Wochen, Monate oder sogar Jahre dauern, das TISAX® Assessment selbst nimmt allenfalls einige Tage in Anspruch – je nach angestrebtem TISAX® Label und der eigenen Organisationsstruktur. Ein Unternehmen mit vielen internationalen Standorten und Prüfzielen, die eine Vor-Ort-Überprüfung gemäß Assessment Level 3 erfordern, muss mehr Zeit einplanen als ein Automobilzulieferer mit nur einem Standort und einer Überprüfung gemäß AL 2. Auch, wenn es Prüfdienstleister gibt, die über internationale Auditorenteams verfügen und arbeitsteilig vorgehen können.

Fazit

Zwischen TISAX® Assessment und TISAX® Audit besteht kein Unterschied. Die TISAX® Assessment Level sind klar definiert: es gibt drei unterschiedliche Level. Für jedes der acht TISAX® Prüfziele ist das zu absolvierende Assessment Level vorgegeben. Level 1 existiert nur formell, es ist mit keinem Prüfziel verbunden. Assessment Level 2 gilt für die Prüfziele „Umgang mit Informationen mit hohem Schutzbedarf“ und „Datenschutz“. Für alle anderen Prüfziele und TISAX® Label muss Assessment Level 3 absolviert werden.  

TISAX^® ist eine eingetragene Marke der ENX Association. DataGuard steht in keiner geschäftlichen Verbindung zu ENX. Wir bieten lediglich Beratung und Unterstützung zur Vorbereitung auf das TISAX^® Assessment an. Die ENX Association übernimmt keine Verantwortung für die auf der DataGuard-Website dargestellten Inhalte.