Digitalisierung, Compliance, Revision: Die erdrückende Summe der Anforderungen

Die Normenrevision 2026 zur ISO 9001 steht bevor und führt zu Ergänzungen im QM-System. Weitere Revisionen mit Branchenschwerpunkten zu QM werden folgen, sowie andere Themen ebenfalls (zum Beispiel Umweltmanagement ISO 14001). Das ist aber noch lange nicht alles, denn Digitalisierung und Nachhaltigkeit sind Themen, die dem Mittelstand auch ohne Normen unter den Nägeln brennen. Datenschutzregelungen oder Gewaltschutzkonzepte sollen endlich umgesetzt werden. Die Anforderungen von Kunden im B2B-Geschäft wachsen über Produktanforderungen hinaus und beinhalten beispielsweise Zertifizierungen nach ISO 27001, einem Informationssicherheitsmanagementsystem. NIS2 (Richtlinie zur Netzwerk- und Informationssicherheit) kommt vom Gesetzgeber noch als das Sahnehäubchen obenauf.

Die Summe der Anforderungen wirkt erdrückend. Der Aufwand dafür besteht nicht nur in Kosten, sondern vor allem in Zeit und Personalressourcen. Zwei Fragen drängen sich jedem Unternehmen auf:

1. Was genau müssen wir umsetzen?
2. Wie machen wir das?

Wenn sich nun die Blicke an Sie als QMler wenden, sind Sie als Person nur indirekt gemeint, vielmehr geht es um die Prozesse des Unternehmens.

Systemwirksamkeit: Regeln leben statt Regeln schreiben

„Wir haben ein gutes Datenschutzsystem aufgebaut und viel Geld in die Beratung investiert. Damit sind wir sehr zufrieden. Aber wir haben keine Ahnung, ob sich alle daran halten. Uns fehlt die notwendige Kontrolle.“

Regelwerke erwachen nicht zum Leben, indem sie aufgeschrieben werden. Sie werden erst gelebt, wenn sie ihren Platz in den Prozessen gefunden haben.

Einige Regeln müssen per Automatisierung gesteuert werden, zum Beispiel die Änderung von Passwörtern. Das ist bei den Anwendenden nur selten beliebt, wird aber dennoch praktiziert.

Andere Regeln müssen in Prozessen eingebunden werden und einem „Wenn-dann“-Prinzip folgen. Wenn ein Gast das Unternehmen betritt, dann wird er registriert, über wichtige Hausregeln sowie das Verhalten im Notfall informiert.

Harmonisierte Struktur, differenzierte Anforderungen

„Wenn wir ISO 27001 einführen, dann haben wir ISO 9001 doch automatisch abgedeckt! Die Kapitel 4 bis 10 der Normen sind identisch und die ISO 27001 stellt ihre Anforderungen im umfangreichen Anhang.“

Die harmonisierte Struktur der Normen ist ein Segen. Dieser „All inclusive“-Gedanke ist dagegen ein Trugschluss. Jede Systemnorm verfolgt einen thematischen Schwerpunkt, weshalb die gemeinsame Struktur themenspezifisch ausgeweitet wird. So ist das Kapitel 8 (Betrieb) in der Überschrift bei allen Normen gleich, weist jedoch in der ISO 9001 insgesamt sieben Unterkapitel auf. In diesen Unterkapiteln lassen sich alle relevanten Prozesse und Bereiche eines Unternehmens wiederfinden.

Wenn Sie sicherstellen wollen, dass Ihre Geheimhaltungsvereinbarung (NDA) wirklich an Vertragspartner ausgehändigt und von beiden Seiten unterschrieben wird, dann analysieren Sie, in welche Prozesse das Dokument eingebunden werden muss. Jedes Dokument braucht ein Zuhause. Das Zuhause ist ein Prozess.

Zertifikats-Druck oder Kundennutzen

„Noch eine Zertifizierung! Das kostet wahnsinnig viel Geld.“

Nicht jedes System muss zertifiziert sein. Drei Beispiele aus meinem Kundenkreis zeigen:

• Ein Unternehmen der Tech-Branche hat die ISO 27001 priorisiert, was eine berechtigte Entscheidung ist. Es fehlten jedoch die geregelten Abläufe. Daher wurde inhaltlich auf das Know-how der ISO 9001 zurückgegriffen, um alle Prozesse entsprechend aufeinander abzustimmen.
• Ein Dienstleister im sozialen Bereich hat über viele Jahre ein QM-System nach ISO 9001 geführt und die Zertifizierung regelmäßig erneuert. Irgendwann wurden aufgrund von Sparmaßnahmen Kostenpositionen geprüft. So wurde die Zertifizierung hinterfragt: Der Kundenkreis (Privatpersonen) fordert keine Zertifizierung und hat wahrscheinlich gar keinen Bezug dazu. Das QM-System wird trotzdem weitergeführt und Beratung bei Bedarf hinzugezogen.
• Ein Händler von hochpreisigen Produkten greift auf die ISO 9001 und entsprechende QM-Beratung zurück, weil er verbesserte Prozesse anstrebt. Seine Kundschaft interessiert sich nicht für die Zertifizierung, erwartet jedoch eine Dienstleistung auf hohem Niveau.

Prozesse sind der Puls

Zwei Faktoren sollten bis hierhin deutlich sein:

1. Ein QM-System muss nicht zwingend zertifiziert werden.
2. Das Know-how der ISO 9001 ist sehr wertvoll für das Unternehmen.

Die Prozesse sorgen für den Fluss im Unternehmen. Dementsprechend sollten sie gut funktionieren, damit Sie darauf vertrauen können. Wie fit sind Ihre Prozesse aktuell? Sind sie bereit für weitere Aufgaben und Nachweispflichten?

Puls-Check Ihrer Prozesse

1. Zeit als Risikoindikator

Wie lange dauert es, bis ein relevantes Dokument oder eine neue Regelung wirklich im Prozess ankommt und verwendet wird?

Oftmals ist fehlende Kommunikation oder Schulung ein Grund. Wenn Sie wissen, in welchem Meeting Sie welche Information platzieren müssen, sind Sie einen Schritt weiter. Holen Sie die entsprechenden Zuständigen ins Boot und informieren Sie vorab über die Bedeutung. Die Kernfrage in der Besprechung lautet:

Wie stellen wir sicher, dass eine veränderte Dokument-Vorlage oder Regel innerhalb von x Stunden im Prozess verwendet wird, ohne dass es zu manuellen Fehlern kommt?

2. Heimatlose Dokumente und Dateien

In den letzten 20 Jahren sind gefühlt Berge von Papierdokumenten zu Datei-Bergen geworden. Prozesse sind das Zuhause und nicht die Ordner-Struktur. Moderne Software hilft Ihnen dabei, Verbindungen von einzelnen Dokumenten zu Prozessen zu identifizieren. Ziel ist es, kein überflüssiges Dokument zu haben, was dem Gedanken eines schlanken Systems entspricht. Gleichzeitig erkennen Sie, welche Regelung noch nicht dem Wenn-dann-Prinzip folgt. Gehen Sie folgendem Gedanken nach:

Welcher Prozessschritt erzeugt, nutzt oder archiviert das betreffende Dokument und wer ist für diesen Prozess verantwortlich?

3. Blick auf die Anwendenden

Die Mitarbeiterzentrierung ist für gelebte Prozesse ein Muss. Wenn es nun um neue Regelungen für den Prozess und weitere Anforderungen geht, führen Sie ein „User-Story-Audit“ durch. Im Vorfeld wurde von den Prozessverantwortlichen die Neuerung in den Prozess aufgenommen. Nutzen Sie die Situation des internen Audits nun, die Anwendenden zu befragen:

Wie führst du die Aufgabe A unter Berücksichtigung der neuen Regel/Anforderung X durch?

4. Der lückenlose Nachweis

Es geht nun mal kein Weg daran vorbei, dass Nachweise erbracht werden müssen. Die Rechtssicherheit des Unternehmens ist ein großer Wert des Managementsystems. Identifizieren Sie die risikorelevanten Nachweise, die zu einem kritischen Prozess gehören müssen. Betrachten Sie das Ende der kritischen Prozesse und stellen Sie sicher, damit hundertprozentige Compliance nachzuweisen. Bringen Sie an dieser Stelle (berechtigt) einen externen Auditor ins Spiel mit der Frage:

Können wir einem externen Auditor in drei Minuten die notwendigen Nachweise vorlegen?

5. Shared Service im integrierten Managementsystem

Die gemeinsame Kapitelstruktur von Normen wurde schon angesprochen. Jedoch nutzen die meisten Unternehmen die Gemeinsamkeiten zu selten. Es ist eine unternehmensindividuelle Aufgabe Redundanzen zu vermeiden und Gemeinsamkeiten zu fokussieren.

Der Shared Service von Prozessschritten oder Dokumenten senkt die gesamte Dokumentationslast. So kann zum Beispiel eine Stammdatenpflege von Lieferanten zentral erfolgen und nicht auf Einkauf, Qualitätssicherung und Rechnungswesen verteilt werden. Der zentrale Zugriff ermöglicht es, dass eine Lieferantenbewertung (ISO 9001), Rohstoffherkünfte (ISO 14001 und Nachhaltigkeit) und Informationssicherheit externer Partner (ISO 27001) in einer Datenquelle zu finden ist. Gehen Sie der Frage nach:

Welche Prozessschritte lassen sich in eine zentrale Servicefunktion auslagern, die von allen unseren Managementsystemen genutzt bzw. in den entsprechenden Normen gefordert wird?

6. Rollenklarheit und Verantwortlichkeiten im Prozessmodell

Das ist eigentlich ein alter Hut, der jedoch lieblos auf der Hutablage verstaubt. Stellen Sie sicher, dass wirklich jeder einzelne Prozess Zuständige hat. Bei kritischen Prozessen sollten Sie genau hinschauen und auch die Stellvertretung wirkungsvoll regeln. Die Verantwortlichen sollten ihrerseits ihre Prozesse kennen. Wenden Sie sich direkt an die Stellvertretung mit einer gezielten Frage:

Wenn du morgen ad hoc die Stellvertretung übernehmen musst, kennst du deine Aufgaben?

7. Prozesslandschaft als Startpunkt

Die Prozesslandschaft oder Prozesslandkarte ist mehr als ein hübsches Bildchen, das für Audits aus der Schublade geholt wird. In der Prozesslandschaft sind die Hauptüberschriften aller Prozesse erfasst. Alle Anforderungen und Themen, die für das Unternehmen relevant sind, dürfen keine Insellösung werden, nur weil sie etwas später ergänzt wurden. Stellen Sie sicher, dass die Prozesslandschaft aussagekräftig ist. Wenden Sie sich beim nächsten internen Audit an die Anwendenden:

Wo findest du dich in der Prozesslandschaft wieder?

Fazit: Prozesse als Puls und Navigationssystem

Die Summe der Anforderungen wirkt auf den ersten Blick erdrückend.

Die strategische Antwort auf diese Komplexität liegt jedoch nicht in der Akkumulation neuer Handbücher oder der Jagd nach jedem erdenklichen Zertifikat, sondern in der klugen Integration in das Bestehende.

Prozesse sind der Puls des Unternehmens. Sie bestimmen die Geschwindigkeit, die Konsistenz und die Wirksamkeit der täglichen Arbeit. Nur wenn neue Regeln ihren festen, prozessualen Platz finden, werden sie tatsächlich gelebt, kontrolliert und sind auditierbar.

Nutzen Sie die vorgestellten Impulse, um Ihre Prozesse gezielt auf Lücken, Redundanzen und Anwenderfreundlichkeit zu prüfen. Indem Sie die Prozesslandkarte als zentrales Navigationssystem für alle Managementsysteme nutzen, wandeln Sie die gefühlte Normenflut in eine strategisch beherrschbare Aufgabe.