Qualitätsmanagement & digitale Souveränität

Viele Unternehmen streben eine Zertifizierung ihres Qualitätsmanagementsystems an. Das ist ein guter Plan, denn eine Zertifizierung bescheinigt, dass eine neutrale Person das System bewertet hat und bestimmte Mindestvoraussetzungen erfüllt sind.

Für die wenigsten ist das ein Selbstzweck. Die Motive sind unterschiedlich:

• Ein zertifiziertes Qualitätsmanangementsystem ist vom Kunden zwingend gefordert – in der Automobilbranche ist das typischerweise die IATF 16949
• Ein zertifiziertes QMS ermöglicht die Teilnahme an Ausschreibungen und eröffnet damit den Zugang zu bestimmten Märkten / Kunden – in vielen Branchen ist die ISO9001 der Standard.
• Es gibt auch viele gesetzliche Anforderungen, die in Zertifizierungen wie ISO 14001 für das Umweltmanagement münden – diese werden typischerweise in einem „IMS“ – „integriertem Managementsystem“ geführt.

ISO 9001, IATF 16949, … Motive für ein zertifiziertes Qualitätsmanagementsystem

Entscheidet sich ein Unternehmen für eine Zertifizierung des Qualitätsmanagementsystems, löst das bei vielen Mitarbeitern erst einmal eine Abwehrhaltung aus. Es wird ein „Papiertiger“ oder „Dokumentengrab“ erwartet, und jeder fürchtet die Mehrarbeit, die auf ihn zukommt. Einen Sinn zu erkennen, wird umso schwieriger, wenn als Ziel nur das „Zertifikat“ ausgerufen wird, um es als Marketing-Mittel zu nutzen.

Dabei gibt es handfeste Argumente für ein zertifiziertes Qualitätsmanagementsystem:

• Die Norm wurde über viele Jahrzehnte weiter entwickelt und greif immer Anforderungen aus dem realen Alltag auf und schlägt eine Struktur vor, die Unternehmen hilft dese Anforderungen und Bedürfnisse auch tatsächlich umzusetzen.
• Die Norm kennt den Einfluss von verschiedenen Faktoren, Mensch, Maschine, Umwelt etc. und bietet hier Ansätze für den Umgang mit den Risiken und Chancen die sich daraus ergeben.
• Im Mittelpunkt steht nicht das Generieren von „Papier“ – sondern die Struktur des Unternehmens. Die Norm hilft zu identifizieren welche „Kernprozesse“ direkt dazu dienen, dass aus einer Kundenanfrage ein mindestens zufriedener Kunde wird. Die Idee dahinter: Ein zufriedener Kunde generiert Folgeaufträge – das stabilisiert das Verhältnis zum Kunden und damit auch die wirtschaftliche Situation des Unternehmens. Daneben gibt es noch die „unterstützenden Prozesse„, die den reibungslosen Ablauf der Kernprozesse ermöglichen. Die Managementprozesse bilden das Fundament des Unternehmens und stellen sicher, dass es eine klare Strategie, nachhaltige Finanzierung etc. gibt. Schon diese einfache Gliederung hilft bei der Strukturierung und Zuordnung von Aufgaben und Verantwortung.
• Apropos Aufgaben und Verantwortung – „A-K-V“ ist mehr als eine Floskel – kurz gesagt, wird hier geregelt, dass nur der jenige für eine Aufgabe die Verantwortung übernehmen kann, für die erkompetent ist. Moment – woher kennen wir das? Aus dem Zivilrecht bzw. Obligationsrecht. Auch dort ist klar geregelt, dass die Verantwortung an den zurückfällt, der eine Aufgabe an jemanden delegiert, der hierfür nicht qualifiziert ist. Das nimmt den Unternehmer in die Pflicht, für eine klare Organisation zu sorgen, Mitarbeiter entsprechend ihrer Kompetenz einzusetzen und sie weiterzubilden, wenn sich das Aufgabenfeld ändert.
• Und dann ist da noch das Thema mit den Dokumenten. Warum ist es wichtig, dass Mitarbeiter nur definierte und freigegebene Dokumentenvorlagen nutzen? Weil diese oft rechtlich relevante Formate und Inhalte berücksichtigen, um die sich dann nicht jeder Mitarbeiter selbst kümmern muss. Hierunter fallen auch Vorgaben zur Archivierung des Dokuments, das der Mitarbeiter daraus erstellt. Die Verantwortung für das Erfüllen dieser Anforderungen liegt damit beim Unternehmen, der Mitarbeiter konzentriert sich auf den Inhalt. Und damit sind wir schon bei Dokumenten und deren Archivierung (wenn diese gefordert ist): Hier werden Nachweise generiert, die belegen, dass Unternehmen und Mitarbeiter alles „richtig“ gemacht haben.
• Aus dem vorherigen Punkt ergibt sich ein besonderes Augenmerk auf die „Lenkung dokumentierter Informationen“. Mit Blick auf die digitale Souveränität wird erkennbar, dass es hier nicht allein um Dokumentenvorlagen, Prozessbeschreibungen, Arbeitsanweisungen und Nachweisdokumente geht, sondern um die Systeme, in denen mit diesen dokumentierten Informationen gearbeitet wird und wie diese abgelegt werden. Systeme wie MS SharePoint helfen, über definierbare Workflows Dokumente zu erstellen, zu bearbeiten und freizugeben. Aber eine Ablage in solch einem System erfüllt keinerlei Anforderungen an ein echtes Archiv. Auch wäre zu überlegen, ob diese Systeme wirklich die Anforderungen und Erwartungen der Kunden erfüllen.

Risiken und Chancen

Risiken und Chancen sind ein elementarer Bestandteil eines Qualitätsmanagementsystems. Die Normen schreiben weder vor, wie Risiken und Chancen erkannt, bewertet und behandelt werden, noch welche Risiken überhaupt in die Betrachtung gezogen werden müssen. Wir empfehlen, das über alle Ebenen und Prozesse des Unternehmens zu betrachten.

Das Unternehmen selbst kann in seiner Existenz betroffen sein: wenn Unwetter Teile des Betriebes massiv schädigen, die Produktion ausfällt, Schlüsselpersonen geplant oder ungeplant das Unternehmen verlassen oder ein Produkthaftungsfall dem Unternehmen die finanzielle Grundlage entzieht.

Auch in den Kernprozessen lauern Risiken. Eine Kundenanforderung wurde unvollständig erfasst und das Produkt entspricht nicht der Erwartung des Kunden. Oder Wirtschaftssanktionen schränken die Verfügbarkeit von Rohstoffen und Zulieferkomponenten ein.

In der Entwicklung ist die systematische Bewertung möglicher Fehler und ihrer Folgen seit Langem Standard, alle Entwickler kennen die FMEA. Doch wie sieht es in den anderen Bereichen aus? Und vor allem im Alltag? Wird eine Risikobewertung als lästige Dokumentation für den Auditor betrachtet oder als elementarer Schritt bei der Planung?

Gleiches gilt für Chancen. Werden sie nicht erkannt, bewertet und genutzt, zieht der Wettbewerber vorbei, der strukturiert arbeitet und seine Vorteile zu nutzen versteht.

ISO 9001 und IATF 16949: Ergänzung, nicht Ersatz

In der Automobilindustrie begegnet man der IATF 16949:2016. Sie ist keine eigenständige Norm, sondern baut auf der ISO 9001:2015 auf und ergänzt sie um automobilspezifische Anforderungen. Wer sich nach IATF 16949 zertifizieren lässt, wird deshalb immer auch gegen die Anforderungen der ISO 9001 auditiert.

Für die Planung einer Zertifizierung ist dieses Verhältnis entscheidend. Das ISO-9001-Fundament trägt, die IATF setzt darauf auf. Wer das versteht, vermeidet doppelten Aufwand ebenso wie Lücken im Managementsystem.

Aufschlussreich ist auch der Blick auf die Herausgeber. Die ISO 9001 stammt von der Internationalen Organisation für Normung, die IATF 16949 von der International Automotive Task Force, einem Zusammenschluss großer Automobilhersteller und ihrer Verbände. Daraus erklären sich die unterschiedlichen Schwerpunkte der beiden Stufen.

Risiko Cyber Security

Ein Risiko, dessen sich alle Unternehmen bewusst sind, ist das Risiko von Cyber-Angriffen. Eine widerstandsfähige IT muss jedoch weiter gehen, denn nicht allein der Erpresser, der Daten verschlüsselt oder abzieht, stellt ein Risiko dar. Es gibt eine Vielzahl interner Risiken mit vergleichbaren Folgen. Das beginnt bereits mit der Wahl der IT-Systeme, des Serverstandortes und der Regelungen zur Arbeit mit den IT-Systemen.

Typische Risiken:

• Unberechtigte Personen (intern wie extern) bekommen Zugriff auf Daten oder Dokumente.

• Daten oder Dokumente gehen „verloren“.

• Systeme funktionieren eingeschränkt, bilden die Anforderungen nicht ab oder fallen aus.

• Kosten entwickeln sich unkontrolliert.

Nun ist zu bewerten, welche Folgen aus diesen Risiken entstehen, wenn keine geeigneten Maßnahmen ergriffen werden. Werden gesetzliche Bestimmungen verletzt? Werden vertragliche Vereinbarungen verletzt? Entstehen Haftungsrisiken? Und wie kann man diesen Risiken begegnen?

Bei der Entwicklung eines Qualitätsmanagements müssen diese Risiken berücksichtigt werden, auch weil Regelungen wie die Lenkung dokumentierter Informationen nur wirksam sind, wenn das IT-System entsprechend gestaltet ist.

Keine Pflicht – aber unvermeidbar für nachhaltigen Erfolg

Weder IATF 16949 noch ISO 9001 sind gesetzlich gefordert. Die Erfüllung der Anforderungen ebnet trotzdem viele Wege. Für Unternehmen, die Genehmigungsinhaber werden möchten, ist die Anfangsbewertung mit einem gültigen Zertifikat deutlich einfacher zu meistern. Und bei vielen Projekten und Ausschreibungen ist das Zertifikat Voraussetzung für die Bewerbung.

Ein Solides QMS wird von Mitarbeiter als tolles Werkzeug erkannt und genutzt. Dafür muss man die Mitarbeiter schon in die Entwicklung des QMS aktiv einbinden.

Zertifizierung: freiwillig, aber oft gefordert

ISO 9001 und IATF 16949 lassen sich anwenden, ohne sich je zertifizieren zu lassen. In der Praxis verlangen Kunden und Auftraggeber den Nachweis aber regelmäßig, und das Zertifikat einer akkreditierten Stelle ist der einfachste. In vielen Ausschreibungen ist es Teilnahmevoraussetzung.

Der Rhythmus ist standardisiert: Auf das Erstaudit folgen jährliche Überwachungsaudits, nach drei Jahren die Rezertifizierung. Das hält das System wach. Der externe Blick deckt Schwachstellen auf, bevor ein Kunde sie findet.

Ein Zertifikat, das an der Wand hängt, während im Alltag anders gearbeitet wird, ist wertlos und fällt spätestens im Überwachungsaudit auf. Der Nutzen entsteht dort, wo das System gelebt wird: Dann öffnet die Zertifizierung Märkte und schafft die Ordnung, auf der auch Ihre Konformitätsnachweise aufbauen.

Häufige Fragen zu ISO 9001

Braucht mein Unternehmen eine Zertifizierung?

Drehen Sie die Frage um: Arbeitet mein Unternehmen so strukturiert, dass ich jederzeit eine Zertifizierung durchlaufen kann? Wenn nicht, wäre unsere Empfehlung, Struktur, Organisation und Abläufe zu prüfen, zu bewerten und zu verbessern. Allein Ihre Mitarbeiter werden Ihnen für klare Regelungen dankbar sein.

Ist ISO 9001 gesetzlich verpflichtend?

Nein. ISO 9001 ist eine freiwillige Norm. Sie kann aber in regulatorischen Kontexten als anerkannter Nachweis dienen, etwa bei der CoP-Anfangsbewertung nach Anhang IV VO (EU) 2018/858, bei Produkthaftung oder Produzentenhaftung im Allgemeinen. Und natürlich, wenn es um vertragliche Pflichten geht.

Ersetzt IATF 16949 die ISO 9001?

Nein. Die IATF 16949 baut auf der ISO 9001:2015 auf und ergänzt sie um automobilspezifische Anforderungen. Beide werden gemeinsam auditiert.

Wie hängt ISO 9001 mit der Conformity of Production zusammen?

Eine gültige ISO-9001-Zertifizierung kann die Anfangsbewertung eines künftigen Genehmigungsinhabers deutlich vereinfachen (Anhang IV VO (EU) 2018/858), sofern der Geltungsbereich passt.

Wie lange ist eine ISO-9001-Zertifizierung gültig?

In der Regel drei Jahre, mit jährlichen Überwachungsaudits durch die akkreditierte Zertifizierungsstelle. Danach folgt die Rezertifizierung.