Was ein Managementsystem ausmacht
Ein Managementsystem ist kein Ordner mit Dokumenten. Vier Merkmale entscheiden: eine von der obersten Leitung getragene Zielsetzung, definierte Prozesse mit benannten Verantwortlichen, Nachweise, dass diese Prozesse tatsächlich gelebt werden, und ein Mechanismus, der Abweichungen erkennt und Verbesserungen auslöst. Fehlt das vierte Merkmal, entsteht eine Dokumentensammlung, die im ersten Audit als solche erkennbar wird.
Die gemeinsame Struktur
Die ISO-Direktiven geben allen Managementsystemnormen dieselbe Gliederung vor. Verbreitet sind dafür die Bezeichnungen Annex SL und High Level Structure; neuere Fassungen sprechen von einer harmonisierten Struktur. Für Anwender bedeutet das: Wer eine dieser Normen kennt, findet sich in den anderen zurecht.
| Abschnitt | Inhalt | Kernfrage |
|---|---|---|
| 4 Kontext der Organisation | Umfeld, interessierte Parteien, Anwendungsbereich | Wofür gilt das System, und wer erwartet was |
| 5 Führung | Verpflichtung der Leitung, Politik, Rollen und Befugnisse | Wer trägt es |
| 6 Planung | Risiken und Chancen, Ziele, Planung von Änderungen | Was soll erreicht werden, und was steht dem entgegen |
| 7 Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information | Womit |
| 8 Betrieb | Planung, Steuerung und Durchführung der Tätigkeiten | Wie im Alltag |
| 9 Bewertung der Leistung | Überwachung und Messung, internes Audit, Managementbewertung | Funktioniert es |
| 10 Verbesserung | Abweichungen, Korrekturmaßnahmen, fortlaufende Verbesserung | Was wird geändert |
Die Abschnitte 1 bis 3 enthalten Anwendungsbereich, normative Verweisungen und Begriffe und sind nicht Gegenstand der Umsetzung.
Was sich zwischen den Normen unterscheidet
Gleich bleibt die Mechanik, verschieden ist der Gegenstand. ISO/IEC 27001 ergänzt die Struktur um eine Risikobeurteilung und -behandlung mit Bezug auf einen Maßnahmenkatalog sowie um die Erklärung zur Anwendbarkeit. ISO 22301 ergänzt sie um Business-Impact-Analyse, Kontinuitätsstrategien und Übungen. ISO 37301 um die Ermittlung von Compliance-Pflichten und -Risiken. ISO 9001 um kunden- und produktbezogene Anforderungen. Wer eine dieser Normen bereits betreibt, hat den größeren Teil der Struktur für die nächste bereits stehen.
Der Regelkreis
Die Struktur bildet einen Zyklus aus Planen, Durchführen, Prüfen und Handeln ab: Abschnitt 6 plant, Abschnitt 8 führt durch, Abschnitt 9 prüft, Abschnitt 10 handelt. Der Zyklus ist der Grund, warum ein Managementsystem nicht abgeschlossen werden kann. Er ist zugleich die Stelle, an der Systeme einschlafen: Interne Audits werden verschoben, die Managementbewertung entfällt, offene Maßnahmen laufen ohne Termin weiter.
Integriertes Managementsystem
| Gemeinsam nutzbar | Themenspezifisch |
|---|---|
| Kontext und interessierte Parteien | Risikomethodik je Thema |
| Politikrahmen und Dokumentenlenkung | inhaltliche Vorgaben |
| Rollenmodell und Schulungsprozess | fachliche Kompetenzanforderungen |
| Auditprogramm und Auditorenpool | Prüftiefe je Norm |
| Managementbewertung | Eingaben und Kennzahlen |
| Abweichungs- und Maßnahmenverfahren | Bewertungsmaßstäbe |
Der Nutzen liegt in einem Auditprogramm statt dreien, einer Managementbewertung statt mehrerer und einem Maßnahmenregister für alle Themen. Voraussetzung ist ein gemeinsamer Geltungsbereich oder wenigstens eine saubere Abbildung der unterschiedlichen Geltungsbereiche aufeinander.
Verhältnis zu gesetzlichen Anforderungen
Regelungen wie die DSGVO, DORA oder das NIS-2-Umsetzungsgesetz verlangen kein zertifiziertes Managementsystem. Sie verlangen aber dessen Bestandteile: eine Risikobeurteilung, angemessene Maßnahmen, Nachweise, die Überprüfung der Wirksamkeit und eine erkennbare Leitungsverantwortung. Ein vorhandenes Managementsystem ist deshalb die günstigste Trägerstruktur für neue regulatorische Anforderungen, weil es die Nachweisführung bereits organisiert hat.
Woran der Betrieb scheitert
- Das System wird für das Zertifikat gebaut und nicht für den Betrieb.
- Der Regelkreis endet nach dem ersten Durchlauf.
- Jedes Thema erhält eigene Dokumente, Audits und Berichtswege.
- Die Managementbewertung besteht aus einer Präsentation ohne Entscheidungen.