Das Auditprogramm für das Compliance Monitoring, Schritt für Schritt

Was die Vorschriften verlangen

Zwei Wörter vorab. Im allgemeinen Sprachgebrauch ist das Auditprogramm die Gesamtheit der Audits über einen Zeitraum, der Auditplan der konkrete Zeitplan dazu, mit Bereich, Termin und Auditor. Die Vorschriften der EASA sprechen von „compliance monitoring programme“ und „audit plan“ und gehen von beiden zusammen aus. Auf dieser Seite steht Auditplan für den Jahresplan.

ORO.GEN.200(a)(6) der Verordnung (EU) Nr. 965/2012 verlangt von jedem Betreiber „eine Funktion für die Überwachung der Einhaltung der einschlägigen Anforderungen durch den Betreiber“, dazu „ein System zur Rückmeldung der Beanstandungen an den verantwortlichen Betriebsleiter, um die wirksame Umsetzung eventuell erforderlicher Abhilfemaßnahmen sicherzustellen“ (in der geltenden Fassung). Für eine ATO gilt nach ORA.GEN.200(a)(6) der Verordnung (EU) Nr. 1178/2011 dasselbe. Die Einzelheiten stehen in AMC1 ORO.GEN.200(a)(6). AMC und GM gibt es nur auf Englisch, wir geben sie hier sinngemäß wieder: Ihre Dokumentation enthält ein Compliance-Monitoring-Programm, das umfasst

• einen Zeitplan für das Programm;
• Auditverfahren, einschließlich eines Auditplans, der umgesetzt, gepflegt und laufend überprüft und verbessert wird;
• Berichtsverfahren;
• Verfahren für Nachverfolgung und Abhilfemaßnahmen und
• ein System zur Aufzeichnung AMC1 ORO.GEN.200(a)(6)(d)(2)(vi).

Zwei Dinge geben Ihnen die Vorschriften nicht vor: ein festes Auditintervall und eine feste Liste von Auditbereichen. Das Programm richtet sich nach der Größe des Betreibers und der Komplexität der überwachten Tätigkeiten AMC1 ORO.GEN.200(a)(6)(a)(2). Die Beispiel-Checkliste für nicht komplexe Betreiber in GM3 trägt die Überschrift „Year:“ (Jahr), daher ist ein Zwölf-Monats-Zyklus der natürliche Ausgangspunkt. Eine Ausnahme mit festem Jahresrhythmus ist Part-CAMO, siehe das Compliance-Monitoring-Toolkit (englisch).

Das Auditprogramm in acht Schritten

1. Festhalten, was das Programm abdecken muss

AMC1 ORO.GEN.200(a)(6)(b) legt das Minimum fest, soweit zutreffend:

• die Rechte des Betreibers (Privileges);
• Handbücher, Logs und Aufzeichnungen;
• Ausbildungsstandards;
• Verfahren und Handbücher des Managementsystems (ab dem 1. Januar 2028 gehören dazu die Verfahren des Flugdatenmonitorings, wo ein solches Programm vorgeschrieben ist);
• die Tätigkeiten unter der Aufsicht der benannten Personen ORO.GEN.210(b);
• alle extern vergebenen Tätigkeiten, geprüft auf Einhaltung des Vertrags ORO.GEN.205.

Komplexe Betreiber finden in GM2 ORO.GEN.200(a)(6) eine längere Themenliste: tatsächlicher Flugbetrieb, Enteisung am Boden, Beladungskontrolle, Flug- und Dienstzeitbegrenzungen, Nutzung der MEL, Gefahrgut, Luftsicherheit und mehr. Auch für einen kleinen Betrieb ist sie eine nützliche Auswahl.

2. Den Umfang in Auditbereiche übersetzen

Fassen Sie den Umfang in sechs bis zehn Bereiche zusammen, jeder klein genug für einen Audittag. Für einen kleinen Luftfahrtbetrieb (AOC) können das sein: Flugbetrieb; Lizenzen, Ausbildung und Überprüfung der Besatzung; Flug- und Dienstzeiten; Bodenabfertigung, Betankung und Gefahrgut; Masse und Schwerpunkt; Schnittstelle zur Instandhaltung; das Managementsystem (Sicherheitsrisikomanagement, Ereignismeldung, Änderungsmanagement); Handbücher, Aufzeichnungen und Dokumentenlenkung; extern vergebene Tätigkeiten. Fügen Sie die Informationssicherheit hinzu, wenn Part-IS für Sie gilt, siehe den Part-IS-Leitfaden.

3. Festlegen, wie oft jeder Bereich geprüft wird

Jeder Bereich mindestens einmal im Zyklus. Dann schauen Sie auf das Risiko: Ein Bereich mit offenen oder wiederholten Beanstandungen, eine jüngste Änderung wie ein neuer Luftfahrzeugtyp, ein neuer Standort oder eine neu benannte Person oder eine Hochsaison verdienen einen früheren oder zweiten Blick. Die Vorschriften überlassen die Häufigkeit Ihnen, schreiben Sie also auf, warum Sie sie so gewählt haben. Diese kurze Begründung zeigen Sie der Inspektorin oder dem Inspektor, wenn nach dem Aufbau des Programms gefragt wird.

4. Für jeden Bereich einen Auditor wählen und die Unabhängigkeit prüfen

Audits und Inspektionen führen Personen durch, die nicht für die geprüfte Funktion, das Verfahren oder die Produkte verantwortlich sind AMC1 ORO.GEN.200(a)(6)(c)(6). In einem kleinen Team braucht das Planung:

• Der Leiter Compliance Monitoring (englisch: Compliance Monitoring Manager) darf alle Audits selbst durchführen oder Auditoren mit der nötigen Kompetenz einsetzen, aus dem Betrieb oder von außen GM1 ORO.GEN.200(a)(6)(a).
• Externe Auditoren arbeiten unter der Verantwortung des Leiters Compliance Monitoring, und die letzte Verantwortung für die Wirksamkeit der Funktion und die Nachverfolgung aller Abhilfemaßnahmen bleibt beim Betreiber GM1 ORO.GEN.200(a)(6)(c), (d).
• In einem nicht komplexen Betrieb darf der verantwortliche Betriebsleiter selbst die Rolle des Leiters Compliance Monitoring übernehmen, wenn er die nötige Kompetenz nachweist AMC1 ORO.GEN.200(a)(6)(c)(4).
• Eine Person darf Leiter Compliance Monitoring und Safety Manager zugleich sein, wenn der verantwortliche Betriebsleiter dafür sorgt, dass für beide Funktionen genug Ressourcen vorhanden sind AMC1 ORO.GEN.200(a)(6)(c)(5).

Die Lücke, auf die Sie achten sollten, sind die Bereiche, die der Leiter Compliance Monitoring selbst führt. Die muss jemand anderes auditieren: eine geschulte Kollegin oder ein Kollege aus einem anderen Bereich oder einmal im Jahr ein externer Auditor.

5. Die Audits über das Jahr verteilen

Legen Sie je Monat ein oder zwei Bereiche fest, statt alle in die ruhige Saison zu packen. Halten Sie die Hochsaison frei, lassen Sie Raum, ein Audit mit Beanstandungen zu wiederholen, und planen Sie den Blick auf die Funktion des Compliance Monitoring selbst gegen Ende des Zyklus ein. Verschiebt sich ein Audit, halten Sie den neuen Monat und den Grund fest. Der Plan soll laufend überprüft und verbessert werden, ein verschobenes Audit mit Begründung ist also normal. Ein Audit, das stillschweigend verschwindet, ist das Problem.

6. Pro Audit eine Checkliste und eine Stichprobe vorbereiten

Für nicht komplexe Betreiber enthält GM3 ORO.GEN.200(a)(6) ein fertiges Layout: Audits können in einer „Compliance Monitoring Checklist“ dokumentiert werden, Beanstandungen in einem „Non-compliance Report“. Die Beispielpunkte ziehen Stichproben aus echten Unterlagen, etwa eine Mindestzahl geprüfter Flugpläne auf richtige und vollständige Angaben. Notieren Sie, was Sie gezogen haben, damit die nächste Prüferin andere Unterlagen auswählen kann.

7. Jedes Audit dem verantwortlichen Betriebsleiter berichten

Die Vorschrift verlangt ein System zur Rückmeldung der Beanstandungen an den verantwortlichen Betriebsleiter, damit erforderliche Abhilfemaßnahmen wirksam umgesetzt werden ORO.GEN.200(a)(6). Ein einseitiger Bericht pro Audit genügt: Umfang, was geprüft wurde, Beanstandungen mit Nummer und Hinweise. Zu jeder Beanstandung gehören dann Ursachenanalyse, Maßnahmenplan und Fälligkeitsdatum. Wie das gut gelingt, steht in How to close a finding (englisch).

8. Den Plan auswerten und ins nächste Jahr übernehmen

Vergleichen Sie am Ende des Zyklus Plan und Ist, listen Sie die verschobenen Audits samt Gründen auf und lassen Sie die Beanstandungen des Jahres die Häufigkeiten des nächsten Jahres bestimmen. Die Schulung gehört zum selben Programm: Wer das Compliance Monitoring verantwortet, soll geschult sein in den Anforderungen des Compliance Monitoring, den Handbüchern und Verfahren zur Aufgabe, Audittechniken sowie Berichten und Aufzeichnen AMC1 ORO.GEN.200(a)(6)(e)(2).

Ein Beispieljahr für einen kleinen Luftfahrtbetrieb

Nur ein Beispiel, für einen nicht komplexen Betreiber mit einem Standort. Passen Sie Bereiche und Monate an Ihren Betrieb, Ihre Saison und die Beanstandungen des Vorjahres an und wählen Sie für jede Zeile einen Auditor, der den Bereich nicht selbst führt.

Die kostenlose Vorlage für den jährlichen Auditplan enthält diese Spalten: Bereich, Umfang und Fundstelle, Auditor, Prüfung der Unabhängigkeit, zuletzt auditiert und ein Zwölf-Monats-Raster für geplant, erledigt und verschoben. Die Vorlage gibt es nur auf Englisch: Excel (englisch) oder Word (englisch), ohne Anmeldung. Die Spaltenüberschriften sind leicht zu übersetzen.

ATOs und die innerbetriebliche Prüfung

Eine ATO folgt derselben Struktur nach ORA.GEN.200(a)(6). Eine Erleichterung gibt es: Eine ATO, die nur für LAPL, PPL, SPL oder BPL und die damit verbundenen Berechtigungen oder Zeugnisse ausbildet, darf das Sicherheitsrisikomanagement und das Compliance Monitoring durch eine „innerbetriebliche Prüfung“ abdecken, die „mindestens einmal pro Kalenderjahr vorgenommen wird“, und muss die zuständige Behörde „unverzüglich“ über die Ergebnisse informieren ORA.GEN.200(c) (in der geltenden Fassung; die Zitate folgen der Fassung vom 1. Mai 2025).

• Das Prüfprogramm kann aus Checklisten mit Zeitplan bestehen, bei dem jeder Punkt innerhalb von zwölf Monaten mindestens einmal geprüft wird. Eine vollständige Prüfung im Jahr oder mehrere Teilprüfungen sind beide zulässig GM1 ORA.GEN.200(c).
• Die Ergebnisse samt allen Beanstandungen und neuen Risiken gehen an den verantwortlichen Betriebsleiter und die benannten Personen, bevor die Behörde informiert wird. Beanstandungen der Kategorie 1 werden sofort mitgeteilt AMC1 ORA.GEN.200(c).
• Belege können aus Ausbildungsunterlagen, internen Sicherheitsmeldungen, dem Risikoregister, Stichproben aus Lehrgängen, beobachteten Prüfungen, Gesprächen und dem Feedback der Auszubildenden stammen GM1 ORA.GEN.200(c).

Eine DTO hat keine Funktion für das Compliance Monitoring. Sie führt stattdessen eine jährliche interne Überprüfung durch und erstellt einen jährlichen Tätigkeitsbericht DTO.GEN.270. Die Vorlage für die DTO finden Sie im Toolkit (englisch).

Worauf die Behörde schaut

Die Leitlinie der Behörde für ihre eigenen Audits (AMC1 ARO.GEN.305(b)(1), nur auf Englisch) sieht vor, dass ein Teil des Audits sich auf die Berichte des Compliance-Monitoring-Personals konzentrieren soll, um festzustellen, ob die Organisation ihre Probleme erkennt und behebt. Ein Plan, der eingehalten wurde, mit Auditberichten und fristgerecht geschlossenen Beanstandungen, ist dieser Nachweis.

Das zahlt sich auch aus. Der Aufsichtsplanungszeitraum der Behörde für eine zugelassene Organisation beträgt nach ARO.GEN.305(c) „von längstens 24 Monaten“. Er kann auf bis zu 36 Monate verlängert werden, wenn die Organisation in den vorangegangenen 24 Monaten bestimmte Voraussetzungen erfüllt hat: wirksame Ermittlung von Gefahren und Risikomanagement, nachgewiesene vollständige Kontrolle über alle Änderungen nach ORO.GEN.130, keine Beanstandungen der Kategorie 1 und alle Abhilfemaßnahmen innerhalb der akzeptierten oder verlängerten Frist umgesetzt. Mit einem genehmigten System zur laufenden Berichterstattung sind bis zu 48 Monate möglich (in der geltenden Fassung).

Quellen: Verordnung (EU) Nr. 965/2012 (ORO.GEN.200, ORO.GEN.205, ORO.GEN.210, ORO.GEN.130, ARO.GEN.305) und Verordnung (EU) Nr. 1178/2011 (ORA.GEN.200, DTO.GEN.270) auf EUR-Lex; die Zitate folgen der konsolidierten deutschen Fassung vom 1. Mai 2025. Für AMC und GM: EASA Easy Access Rules for Air Operations (englisch) (März 2026) mit AMC1, GM1 bis GM3 ORO.GEN.200(a)(6) und AMC1 ARO.GEN.305(b)(1) sowie EASA Easy Access Rules for Aircrew (englisch) (Oktober 2026) mit AMC1 und GM1 ORA.GEN.200(c). Stand der Prüfung: 31. Oktober 2026. Wo diese Seite und das Amtsblatt voneinander abweichen, gilt der Wortlaut des Amtsblatts.