ISO-9001-Anforderungen: Was die Norm tatsächlich verlangt

Wer sucht, was ISO 9001 verlangt, findet zwei Arten von Antworten: eine Liste von Kapitelnummern, die nichts sagt, oder die Seite eines Beraters, die suggeriert, Sie bräuchten weit mehr als tatsächlich nötig. Die Norm selbst umfasst 30 Seiten. Der größte Teil der Arbeit besteht darin zu entscheiden, was auf Sie zutrifft. Das hier ist es, was sie wirklich fordert.

Die sieben Kapitel mit Anforderungen

ISO 9001:2015 hat zehn Kapitel. Die ersten drei behandeln Anwendungsbereich, Verweise und Begriffe und enthalten keine Anforderungen. Alles Auditierbare steht in den Kapiteln 4 bis 10:

• Kapitel 4, Kontext: wer Ihre interessierten Parteien sind, was sie erwarten und wo Sie die Grenze Ihres Qualitätsmanagementsystems gezogen haben.
• Kapitel 5, Führung: die Rechenschaftspflicht der obersten Leitung, eine Qualitätspolitik und klare Verantwortlichkeiten.
• Kapitel 6, Planung: die Risiken und Chancen, die Ihre Lieferung gefährden können, messbare Qualitätsziele und der Umgang mit Änderungen.
• Kapitel 7, Unterstützung: Personen, Kompetenz, Infrastruktur, Messmittel und dokumentierte Information.
• Kapitel 8, Betrieb: die Arbeit selbst, vom Verständnis einer Kundenanforderung bis zur Steuerung von Lieferanten und zur Freigabe des Produkts.
• Kapitel 9, Bewertung der Leistung: Überwachung, internes Audit und Managementbewertung.
• Kapitel 10, Verbesserung: was Sie tun, wenn etwas schiefgeht.

Ein Auditor arbeitet diese der Reihe nach durch. Nichts auf der Liste ist exotisch. Die Schwierigkeit liegt fast nie darin, ein Kapitel zu verstehen. Sie liegt darin, den Nachweis zu erbringen, dass Sie es umgesetzt haben.

Was schriftlich vorliegen muss

Die Revision von 2015 ersetzte „Dokumente und Aufzeichnungen" durch einen einzigen Begriff, dokumentierte Information, und schrieb keinen festen Dokumentensatz mehr vor. Es gibt kein vorgeschriebenes Qualitätsmanagement-Handbuch und keine verpflichtende Liste von sechs Verfahren. Was bleibt, ist eine kurze Liste dessen, was Sie laut Norm aufrechterhalten oder aufbewahren müssen.

Aufrechterhalten, also aktuell gehalten:

• Der Anwendungsbereich des Qualitätsmanagementsystems (4.3).
• Die Qualitätspolitik (5.2) und die Qualitätsziele (6.2).
• Alle dokumentierte Information, die Sie für das Funktionieren Ihrer Prozesse für nötig halten (4.4.2). Diese Einschätzung liegt bei Ihnen, und ein Auditor prüft sie daran, was Ihre Leute für die Arbeit tatsächlich brauchen.

Aufbewahrt, also als Nachweis dessen gehalten, was geschehen ist:

• Kalibrierung und messtechnische Rückverfolgbarkeit (7.1.5.2).
• Nachweis der Kompetenz (7.2).
• Bewertung der Kundenanforderungen, bevor Sie sich verpflichten (8.2.3.2).
• Designeingaben, -steuerungen und -ergebnisse, sofern Design bei Ihnen zutrifft (8.3).
• Bewertung und Überwachung externer Anbieter (8.4.1).
• Freigabe von Produkten und Dienstleistungen, mit der Person, die sie autorisiert hat (8.6).
• Nichtkonforme Ergebnisse und Ihr Umgang damit (8.7.2).
• Ergebnisse der Überwachung und Messung (9.1.1), Ergebnisse interner Audits (9.2.2) und Ergebnisse der Managementbewertung (9.3.3).
• Nichtkonformitäten und Korrekturmaßnahmen (10.2.2).

Das ist der gesamte verpflichtende Satz. Alles andere ist Dokumentation, die Sie freiwillig führen, und die Norm verlangt nur, dass Sie sie lenken: dass sie dort verfügbar ist, wo die Arbeit stattfindet, in einer Form, die die Leute nutzen können, geschützt vor unbeabsichtigter Änderung, und dass Sie eine Version von der anderen unterscheiden können. Aus der Lenkung dokumentierter Information stammen die meisten Auditfeststellungen in diesem Bereich, und fast keine davon betrifft fehlende Dokumente. Sie betreffen die falsche Version, die im Einsatz ist.

Was ISO 9001 nicht verlangt

Vier Dinge bauen Menschen auf, weil sie glauben, die Norm fordere sie:

• Ein Qualitätsmanagement-Handbuch. 2015 entfallen. Viele Organisationen führen es weiter, weil es eine nützliche Orientierung bietet, und das ist ein guter Grund. Eine Anforderung ist es nicht.
• Sechs dokumentierte Verfahren. Das war die Ausgabe von 2008. Die aktuelle Norm überlässt Ihnen die Entscheidung, welche Prozesse schriftliche Verfahren brauchen.
• Einen Managementbeauftragten. Die Revision von 2015 wies diese Aufgaben der obersten Leitung zu statt einer einzelnen benannten Person.
• Vorbeugende Maßnahmen als eigenen Prozess. Sie wurden durch das risikobasierte Denken in Kapitel 6.1 ersetzt, das das gesamte System durchziehen soll, statt daneben zu stehen.

Enthält Ihr System diese Dinge, weil eine Vorlage sie hatte, ist das keine Nichtkonformität. Es ist Aufwand, den Sie gewählt haben, und es lohnt sich zu wissen, dass Sie ihn gewählt haben.

Wie ein Auditor eine Anforderung prüft

Eine Anforderung ist nicht erfüllt, weil ein Dokument das behauptet. Ein Auditor arbeitet stichprobenartig: Er greift sich eine Rolle, einen Prozess oder einen Auftrag heraus und verfolgt ihn von Anfang bis Ende, wobei er bei jedem Schritt nach dem Nachweis fragt. Eine festgelegte Anforderung, die dazugehörige Schulung, die Aufzeichnung über die Umsetzung und die Bewertung, die es aufgriff, wenn es nicht umgesetzt war.

Deshalb scheitert Dokumentation, die nur existiert, um die Norm zu erfüllen. Sie hat keine Spur hinter sich. Die Verfahren, die bestehen, sind die, denen die Leute ohnehin gefolgt sind, korrekt aufgeschrieben. Wie es im Audit selbst zugeht, lesen Sie unter wie Zertifizierung wirklich abläuft, und wie sich die Kapitel auf ein funktionierendes Managementsystem übertragen, in der ISO 9001 Übersicht.

Eine kurze Prüfung vor Ihrem nächsten Audit

Nehmen Sie einen Prozess und beantworten Sie fünf Fragen dazu:

1. Liegt er im Anwendungsbereich, und sagt die Anwendungsbereichsangabe das aus?
2. Gibt es eine dokumentierte Anforderung dafür, und passt sie zu dem, was die Leute tun?
3. Sind die Leute, die ihn ausführen, kompetent, und gibt es einen Nachweis dafür?
4. Gibt es eine Aufzeichnung darüber, dass er stattfand, datiert und zuordenbar?
5. Als er zuletzt schiefging, gibt es eine Nichtkonformität und eine Korrekturmaßnahme, die sie schließt?

Lautet eine Antwort Nein, ist das die Feststellung, und Sie haben sie vor einem Auditor gefunden. Genau darum geht es in Kapitel 9.