Auditierungsvereinbarung

• Finanz- und Rechnungsprüfungen: Überprüfung von Rechnungen, Zahlungsaufstellungen und Kostendetails. Der Auftraggeber darf Einsicht in die Kalkulationen und Abrechnungen nehmen, um sicherzustellen, dass alle berechneten Leistungen den vertraglichen Vereinbarungen entsprechen. Dazu gehört auch die Kontrolle von abgerechneten Leistungen Dritter (z.B. Nachunternehmerrechnungen), sofern diese an den Auftraggeber weiterbelastet werden.

• Lohn- und Personalprüfungen: Kontrolle der Lohn- und Gehaltsabrechnungen des eingesetzten Personals. Hierdurch wird überprüft, ob die Mitarbeitenden gemäß den Vorgaben (Mindestlohn, Tariflohn, vereinbarte Stundensätze) bezahlt wurden. Zudem kann der Auftraggeber Bestätigungen oder Erklärungen vom Auftragnehmer verlangen, dass auch Nachunternehmer und Personaldienstleister die entsprechenden Arbeitsbedingungen und Löhne einhalten. Diese Prüfung schützt vor Schwarzarbeit, Unterbezahlung oder sonstigen Verstößen im Personalbereich.

• Compliance-Prüfungen: Überprüfung der Einhaltung sonstiger vertraglicher und gesetzlicher Pflichten. Dies beinhaltet die Kontrolle von Qualifikationsnachweisen und Lizenzen (z.B. Facharbeiterbriefe, Schweißzertifikate, Befähigungsnachweise für Elektrofachkräfte), Prüfprotokollen über vorgeschriebene Wartungen und Inspektionen (z.B. TÜV-Bescheinigungen für Anlagen), Nachweisen über die persönliche Schutzausrüstung (PSA) und Sicherheitsunterweisungen der Mitarbeiter sowie gültigen Versicherungsnachweisen (Betriebshaftpflicht, Unfallversicherung). Solche Compliance-Audits stellen sicher, dass der Auftragnehmer alle Voraussetzungen erfüllt, um die technischen FM-Leistungen sicher und rechtskonform zu erbringen.

• Audits von Sicherheits- und Zutrittskontrollsystemen: Speziell in sicherheitsrelevanten Bereichen darf der Auftraggeber auch die Systeme zur Zutrittskontrolle und allgemeinen Gebäudesicherheit auditieren. Dabei werden beispielsweise Systemprotokolle und Logbücher eingesehen, um zu prüfen, ob unberechtigte Zugriffsversuche aufgetreten sind und wie darauf reagiert wurde. Ebenso können Wartungsberichte und Störungsmeldungen für Alarm- und Zutrittskontrollanlagen geprüft werden, um die Einhaltung der vereinbarten Service-Level zu überwachen (z.B. Reaktionszeiten bei technischen Störungen, geforderte Anlagenverfügbarkeit).

• Bereitstellung relevanter Unterlagen: Der Bieter erklärt sich bereit, auf Verlangen sämtliche für Audits relevanten Unterlagen zeitnah zur Verfügung zu stellen. Dies umfasst finanzielle Dokumente (Rechnungen, Kostenaufstellungen, Nachunternehmerverträge), personelle Unterlagen (Lohn- und Gehaltsabrechnungen, Arbeitszeitnachweise, Qualifikationszertifikate) sowie technische und sicherheitsrelevante Dokumentationen (Wartungsprotokolle, Prüfberichte, Inventar- und Anlagenlisten).

• Format, Aufbewahrung und Zugänglichkeit: Es ist sicherzustellen, dass alle auditrelevanten Daten in einem gängigen, prüffähigen Format vorliegen (z.B. PDF für Schriftstücke, Excel für Abrechnungsübersichten) und über die vorgeschriebene Dauer aufbewahrt werden. Gesetzliche Aufbewahrungsfristen – typischerweise 6 Jahre für Geschäftsbriefe und 10 Jahre für Buchungsbelege – sind einzuhalten. Der Bieter muss in seinem Angebot darlegen, wie im Prüfungsfall der Zugriff des Auftraggebers auf diese Dokumente gewährleistet wird (etwa durch ein strukturiertes Ablagesystem oder den Einsatz einer CAFM-Software mit geeignetem Berechtigungskonzept).

• Interne Audit-Vorbereitung: Vom Bieter wird erwartet, dass er bereits über interne Prozesse zur Unterstützung von Audits verfügt. Dazu gehört ein effizientes Dokumentenmanagement und die Fähigkeit, benötigte Nachweise zeitnah zusammenzustellen. Idealerweise ist das Facility Management des Bieters digitalisiert (z.B. Nutzung eines CAFM-Systems), sodass Auswertungen und Berichte bei Bedarf schnell erzeugt werden können. Ein hohes Maß an Audit-Readiness demonstriert die Professionalität des Bieters im Umgang mit seinen Daten und Verpflichtungen.

• Ausdehnung der Prüfrechte auf Dritte: Sofern der Bieter Teile der Leistungen an Nachunternehmer oder Zeitarbeitsfirmen vergibt, muss er sicherstellen, dass die Auditierungsrechte des Auftraggebers auch gegenüber diesen Dritten gelten. Im Angebot ist eine verbindliche Erklärung aufzunehmen, wonach der Hauptauftragnehmer seine Subunternehmer vertraglich verpflichtet, bei Audits mitzuwirken und dem Auftraggeber dieselbe Einsicht in deren Unterlagen zu gewähren. Dadurch wird verhindert, dass durch die Auslagerung von Leistungen Lücken in der Prüfbarkeit entstehen.

• Vertraulichkeit und Datenschutz bei Prüfungen: Der Bieter muss darlegen, welche Maßnahmen er trifft, um sensible Informationen, die im Zuge von Audits offengelegt werden, zu schützen. Dies kann z.B. die Kennzeichnung vertraulicher Dokumente, die Protokollierung der Einsichtnahmen oder die Bereitstellung eines gesicherten Datenraums für die Prüfung umfassen. Gleichzeitig verpflichtet sich auch der Auftraggeber in der Auditierungsvereinbarung, alle erhaltenen Informationen ausschließlich für Prüfzwecke zu verwenden und gegenüber Dritten Stillschweigen zu bewahren. Beide Seiten tragen so zur Wahrung der Vertraulichkeit und des Datenschutzes bei.

• Bereits im Ausschreibungsverfahren werden die Weichen für eine wirksame Auditierung gestellt. Jeder Bieter muss daher mit seinem Angebot eine unterzeichnete Auditierungsvereinbarung einreichen, in der die oben genannten Rechte und Pflichten verbindlich anerkannt werden. Der Auftraggeber prüft im Zuge der Angebotsbewertung die Vorlage dieses Dokuments und behält sich vor, Angebote ohne eine solche Bestätigung vom weiteren Verfahren auszuschließen.

• Die Auditierungsvereinbarung sollte klar regeln, in welchem Turnus Audits stattfinden können und wie sie anzukündigen sind. Üblich sind planmäßige Audits in regelmäßigen Abständen (z.B. vierteljährlich oder jährlich), ergänzt durch außerplanmäßige Audits aus besonderem Anlass oder bei Verdacht auf erhebliche Mängel. Die Vereinbarung definiert ferner den Umfang der Prüfungen pro Audit-Termin, um den Aufwand für beide Seiten kalkulierbar zu halten. Häufig wird festgelegt, dass Audits während der üblichen Geschäftszeiten und mit vorheriger Ankündigung (z.B. zwei Wochen im Voraus) stattfinden, außer es liegt ein dringender Vorfall vor, der ein sofortiges Eingreifen rechtfertigt.

• Während der Vertragsausführung ist der Auftragnehmer verpflichtet, im Audit-Fall uneingeschränkt zu kooperieren. Das bedeutet, Zugang zu den relevanten Örtlichkeiten und Systemen zu gewähren, erforderliche Unterlagen und Auskünfte umgehend bereitzustellen und geschultes Personal als Ansprechpartner für die Prüfer abzustellen. Etwaige Auflagen des Sicherheits- oder Geheimschutzes im Objekt (z.B. Begleitung der Prüfer in besonders sensiblen Bereichen) sind vorab mit dem Audit-Team abzustimmen; sie dürfen jedoch eine sachgerechte Prüfung nicht ungebührlich verzögern oder behindern.

• Werden Mängel, Unstimmigkeiten oder Verstöße im Rahmen eines Audits festgestellt, verpflichtet sich der Auftragnehmer, an deren Aufklärung mitzuwirken und unverzüglich Korrekturmaßnahmen einzuleiten. Die Vertragspartner sollten in der Auditierungsvereinbarung auch festhalten, welche Folgen ein Scheitern der Kooperation oder schwere Compliance-Verstöße haben. Typischerweise werden hier Vertragsstrafen für die Vereitelung von Audits oder das Zurückhalten von Informationen vorgesehen. In gravierenden Fällen – etwa wenn sich herausstellt, dass der Auftragnehmer systematisch gegen wesentliche Vertragsbestimmungen (z.B. die Zahlung des Mindestlohns) verstößt oder eine Auditierung verweigert – kann dem Auftraggeber ein Sonderkündigungsrecht eingeräumt werden, um den Vertrag vorzeitig zu beenden.

• Für sicherheitskritische Einrichtungen und Systeme, insbesondere elektronische Zutrittskontrollanlagen, werden im Rahmen der Auditierung zusätzliche Anforderungen gestellt. Der Auftraggeber hat das Recht, Leistungskennzahlen dieser Systeme einzusehen. Dazu zählen beispielsweise die Verfügbarkeitsrate der Zutrittsanlage (System-Uptime in Prozent), die mittlere Reparaturdauer (Mean Time To Repair, MTTR) bei Störungen, sowie detaillierte Vorfallsprotokolle bei sicherheitsrelevanten Ereignissen oder Alarmen. Anhand dieser Daten wird überprüft, ob der Auftragnehmer die vertraglich vereinbarten Service-Levels einhält und ob das Sicherheitsniveau konstant hochgehalten wird.

• Die Auditierung erstreckt sich auch auf die Arbeiten etwaiger Nachunternehmer, die mit Installation, Wartung oder Betrieb der Zutrittskontrollsysteme betraut sind. Der Auftragnehmer muss daher gewährleisten, dass entsprechende Wartungsberichte, Prüfbescheinigungen und Incident-Reports der Nachunternehmer ebenfalls zugänglich sind. So kann sich der Auftraggeber ein vollständiges Bild über die Zuverlässigkeit und Integrität des Zutrittskontrollsystems verschaffen.

• Ein zentrales Anliegen bei Audits im Sicherheitsbereich ist der vertrauliche Umgang mit sensiblen Daten. Informationen über Zugangscodes, Sicherheitsvorfälle oder Systemkonfigurationen dürfen nur einem engen, autorisierten Personenkreis bekannt sein. Die Auditierungsvereinbarung wird festhalten, dass alle im Rahmen der Prüfung gewonnenen sicherheitsrelevanten Erkenntnisse keinem Unbefugten zugänglich gemacht werden und dass solche Informationen nach Abschluss der Auswertung angemessen geschützt oder vernichtet werden. Dies schützt sowohl den Auftraggeber als auch den Auftragnehmer vor Risiken, die durch einen möglichen Informationsabfluss entstehen könnten.

• Schließlich wird im Bereich Zutrittskontrolle die Einhaltung anerkannter Standards und Normen überprüft. Relevante Regelwerke sind beispielsweise DIN EN 60839-11-1 (Anforderungen an elektronische Zutrittskontrollanlagen) und die VDE 0833-Normenreihe (Gefahrenmeldeanlagen, einschließlich Zutrittssteuerung und Einbruchmeldeanlagen). Der Auftraggeber kann im Audit die vorhandenen Dokumentationen und Zertifikate dahingehend prüfen, ob das eingesetzte Sicherheitssystem und dessen Betrieb den Vorgaben dieser Normen entsprechen. Sollten in einem Audit Schwachstellen oder Abweichungen festgestellt werden, wird vom Auftragnehmer erwartet, umgehend Gegenmaßnahmen zu implementieren. In Folge-Audits kann der Auftraggeber gezielt nachverfolgen, ob die eingeleiteten Maßnahmen erfolgreich waren und sämtliche festgestellten Mängel dauerhaft behoben wurden.

Abschließend muss der Bieter im Rahmen seiner Angebotsabgabe eine formelle Bestätigung der Auditierungsvereinbarung leisten. Darin erklärt er verbindlich, dass er die Prüf- und Zugriffsrechte des Auftraggebers vollumfänglich akzeptiert und selbst die Verantwortung für größtmögliche Transparenz in finanziellen, technischen und sicherheitsrelevanten Belangen übernimmt. Diese Bestätigung – üblicherweise in Form einer unterschriebenen Vertragsanlage oder Erklärung – stellt sicher, dass sich der Bieter seiner Pflichten voll bewusst ist. Gleichzeitig signalisiert sie dem Auftraggeber, dass der zukünftige Vertragspartner gewillt und vorbereitet ist, die Zusammenarbeit offen, vertragsgetreu und regelkonform zu gestalten.