Was ein Compliance-Audit im Mittelstand tatsächlich kostet

Die Frage nach den Kosten eines Compliance-Audits bekommt selten eine brauchbare Antwort, weil sie meist falsch gestellt wird. Gefragt wird nach dem Preis des Audits. Bezahlt wird aber vor allem die Vorbereitung, und die fällt intern an, in Arbeitszeit, die niemand als Rechnung sieht.

Dieser Beitrag rechnet deshalb nicht mit Pauschalpreisen, sondern mit Bausteinen: Auditorentage, interne Vorbereitungstage, wiederkehrende Pflege. Wer diese drei Größen für das eigene Haus schätzt, kommt zu einer belastbaren Zahl. Wer eine Pauschale übernimmt, die er irgendwo gelesen hat, liegt bei der ersten Rechnung daneben.

1. Ausgangslage: Drei Kostenblöcke, nur einer steht auf einer Rechnung

Ein Compliance-Audit zerfällt kostenseitig in drei Blöcke. Erstens die externen Auditorentage, also das, was eine Zertifizierungsstelle oder ein Prüfdienstleister berechnet. Zweitens die interne Vorbereitung: Dokumente erstellen, Nachweise zusammentragen, Interviews vorbereiten, Feststellungen abarbeiten. Drittens die laufende Pflege zwischen den Audits, die häufig ganz aus der Rechnung fällt.

Der zweite Block ist in der Regel der größte, und er ist der einzige, den niemand als Ausgabe wahrnimmt, weil er aus Arbeitszeit besteht, die ohnehin bezahlt wird. Genau deshalb wird er unterschätzt.

2. Wer ist betroffen?

Der Beitrag richtet sich an Unternehmen zwischen etwa 50 und 500 Mitarbeitenden, die vor einer ISO-27001-Erstzertifizierung stehen, eine Rezertifizierung planen, sich auf eine NIS-2-Aufsichtsprüfung vorbereiten oder ein Kundenaudit im Rahmen einer Lieferantenprüfung bestehen müssen. Die Bausteine gelten für alle vier Fälle, die Gewichtung unterscheidet sich.

3. Wie hoch ist die Priorität?

Planungsrelevant, nicht dringlich. Der Schaden entsteht nicht durch hohe Kosten, sondern durch falsch geplante: Wer den internen Aufwand zu niedrig ansetzt, verschiebt ihn nicht, sondern verdrängt anderes. In der Praxis fällt die Vorbereitung dann in die vier Wochen vor dem Termin und blockiert genau die Leute, die den Betrieb tragen.

4. Warum ist das wichtig? Die Bausteine im Einzelnen

Externe Auditorentage

Bei akkreditierten Zertifizierungen ist die Zahl der Auditorentage nicht frei verhandelbar. Sie ergibt sich aus den Vorgaben zur Bemessung der Auditzeit und hängt vor allem von der Zahl der Mitarbeitenden im Geltungsbereich, der Zahl der Standorte und der Komplexität ab. Der Tagessatz ist der Teil, den Sie durch Angebotsvergleich beeinflussen können. Die Tagesanzahl ist es nicht. Wer ein auffällig günstiges Angebot mit auffällig wenigen Tagen erhält, sollte nach der Akkreditierung der Stelle fragen.

Interne Vorbereitung

Hier entscheidet der Ausgangszustand alles. Ein Unternehmen mit gepflegter Dokumentation, laufenden Reviews und einem benannten Verantwortlichen bereitet sich in Wochen vor. Ein Unternehmen, das bei null beginnt, braucht Monate, und zwar überwiegend für Tätigkeiten, die mit dem Audit nichts zu tun haben: Prozesse beschreiben, die bisher nur gelebt wurden, Verantwortlichkeiten klären, Altbestände bereinigen.

Eine belastbare Schätzung entsteht, wenn Sie je Nachweis eine Zeit ansetzen und summieren, statt einen Gesamtwert zu raten. Für jeden geforderten Nachweis: Existiert er? Ist er aktuell? Wer müsste ihn erstellen, und wie lange braucht diese Person dafür?

Die Posten, die regelmäßig vergessen werden

• Abarbeitung der Feststellungen nach dem Audit, inklusive Nachweisführung gegenüber der Zertifizierungsstelle
• Reise- und Nebenkosten der Auditoren, die separat abgerechnet werden
• Der Zeitaufwand der Interviewpartner, oft ein bis zwei Stunden je Person, verteilt über die ganze Organisation
• Ein internes Audit, das der Zertifizierung vorausgehen muss und ebenfalls Aufwand bindet
• Werkzeugkosten, wenn im Zuge der Vorbereitung eine Compliance-Plattform eingeführt wird
• Die jährliche Pflege zwischen den Audits, die den Aufwand der nächsten Runde bestimmt

5. Was muss konkret getan werden?

Rechnen Sie in dieser Reihenfolge, bevor Sie Angebote einholen:

• Geltungsbereich festlegen und die Zahl der Personen und Standorte darin bestimmen
• Nachweisliste aufstellen und je Nachweis den Aufwand in Stunden schätzen
• Internen Vorbereitungsaufwand mit einem realistischen Stundensatz bewerten, nicht mit null
• Externe Angebote einholen und dabei Tagesanzahl und Tagessatz getrennt betrachten
• Einen Puffer für die Nacharbeit der Feststellungen einplanen

6. Welche Dokumente werden benötigt?

Für die Kostenschätzung selbst genügen drei: eine Liste der geforderten Nachweise, ein Verzeichnis dessen, was davon bereits existiert, und eine Personalübersicht für den Geltungsbereich. Die Differenz zwischen den ersten beiden Listen ist Ihr Projekt.

7. BAM-Mapping: Warum Mehrfachprüfung teuer ist

Der teuerste Fehler ist nicht ein zu hoher Tagessatz, sondern dieselbe Maßnahme mehrfach nachzuweisen. Ein Unternehmen mit ISO 27001, NIS-2-Pflichten und Kundenaudits führt dieselbe Zugriffskontrolle schnell in drei Systemen, mit drei Nachweisformaten und drei Terminen. Wer die Überschneidung einmal sauber abbildet, spart den Aufwand in jeder Folgeprüfung. Die Logik dahinter ist unter Executable Compliance beschrieben, die Werkzeuge sind im Compliance-Software-Report DACH nach offengelegter Methodik verglichen.

8. Unsere Empfehlung

Schätzen Sie den internen Aufwand zuerst und holen Sie Angebote erst danach ein. Dann verhandeln Sie über den kleineren Block mit Kenntnis des größeren. Und planen Sie die Pflege zwischen den Audits als feste Größe ein, nicht als Restposten: Sie entscheidet darüber, ob die nächste Prüfung ein Projekt wird oder ein Termin.

Häufige Fragen zu Auditkosten

Warum nennt dieser Beitrag keine Pauschalpreise?

Weil die Spannbreite bei gleicher Unternehmensgröße größer ist, als ein Mittelwert aussagen könnte. Zwei Unternehmen mit 200 Mitarbeitenden können sich im Vorbereitungsaufwand um ein Vielfaches unterscheiden, je nach Ausgangszustand der Dokumentation.

Lässt sich die Zahl der Auditorentage verhandeln?

Bei akkreditierten Zertifizierungsaudits kaum. Sie folgt den Vorgaben zur Bemessung der Auditzeit und richtet sich nach Größe und Komplexität des Geltungsbereichs. Verhandelbar sind der Tagessatz und der Zuschnitt des Geltungsbereichs.

Ist ein enger Geltungsbereich der günstigere Weg?

Für das Zertifizierungsaudit ja, für die gesetzliche Pflicht nicht. Das BSIG kennt keinen selbst gewählten Geltungsbereich. Ein eng geschnittenes Zertifikat senkt die Auditkosten und lässt die Pflichten für den Rest des Unternehmens unberührt.

Quellen

• DIN EN ISO/IEC 27001:2022 sowie die Vorgaben zur Bemessung der Auditzeit nach ISO/IEC 27006
• § 30 und § 39 BSIG in der Fassung des NIS2UmsuCG
• Brain-Media, Compliance-Software-Report DACH, Methodik und Bewertungskriterien