Richtlinie und Verfahrensanweisung: Definition und Abgrenzung
Eine Richtlinie regelt, was verbindlich gilt und wer dafür einsteht; eine Verfahrensanweisung regelt, wie ein Ablauf Schritt für Schritt erfolgt. Die Richtlinie richtet sich an die Rollen, die etwas einhalten müssen, die Verfahrensanweisung an die Rollen, die etwas ausführen. Beide sind dokumentierte Information im Sinne der ISO-Managementsystemnormen. In einem ISMS steht über ihnen die Informationssicherheitsleitlinie.
Als Faustregel gilt: Eine Richtlinie sollte einen Werkzeugwechsel überstehen, eine Verfahrensanweisung einen Personalwechsel. Wie das Regelwerk in den Aufbau eines ISMS eingebettet wird, beschreibt der Leitfaden ISMS einführen.
Welches Dokument brauchen Sie?
Welches Dokument Sie brauchen, ergibt sich aus dem, was Sie festhalten wollen:
| Wenn Sie festhalten wollen … | dann ist es eine … |
|---|---|
| welchen Anspruch die Organisation als Ganzes verfolgt | Leitlinie |
| dass etwas verbindlich gilt und wer es verantwortet | Richtlinie |
| in welcher Reihenfolge mehrere Beteiligte handeln, mit Übergaben und Entscheidungspunkten | Verfahrensanweisung |
| wie eine Person eine einzelne Tätigkeit in einem bestimmten Werkzeug ausführt | Arbeitsanweisung |
| dass es tatsächlich so gemacht wurde | Aufzeichnung, kein Regelungsdokument |
Stehen Werkzeugnamen und Klickpfade in der Richtlinie, muss sie bei jedem Werkzeugwechsel neu freigegeben werden, unter Umständen durch die Geschäftsleitung. Steht die Anforderung in der Richtlinie und der Klickpfad in der Arbeitsanweisung, ändert sich nur das untere Dokument.
Vier Ebenen von der Leitlinie bis zur Arbeitsanweisung
Eine Dokumentenhierarchie mit vier Ebenen trennt diese nach Adressat, Freigabe und Änderungsanlass:
| Ebene | Adressat | Freigabe | Änderungsanlass |
|---|---|---|---|
| Leitlinie | die gesamte Organisation | Geschäftsleitung | strategische Änderungen |
| Richtlinie | die betroffenen Rollen | Geschäftsleitung oder benannte Funktion | geänderte Anforderungen |
| Verfahrensanweisung | die ausführenden Rollen | Prozessverantwortlicher | Prozessänderungen |
| Arbeitsanweisung und Formular | die ausführende Stelle | Fachverantwortlicher | Werkzeugwechsel |
Im Englischen heißen Leitlinie und Richtlinie beide „policy“. Legen Sie in zweisprachigen Regelwerken fest, welches englische Wort welche Ebene bezeichnet, damit die Freigabestelle eindeutig bleibt.
Was gehört in eine Richtlinie?
Eine Richtlinie sollte acht Bestandteile enthalten:
- Zweck
- Geltungsbereich
- Adressaten
- verbindliche Vorgaben
- Rollen und Verantwortlichkeiten
- Verfahren für Ausnahmen
- Verweise auf mitgeltende Dokumente
- Dokumentenkopf mit Version, Datum, Freigabe, verantwortlicher Stelle und Termin der nächsten Überprüfung
Fehlt das Ausnahmeverfahren, entsteht entweder ein stillschweigender Verstoß, den niemand dokumentiert, oder eine Blockade, die das Geschäft aufhält. Ein Ausnahmeverfahren nennt die Stelle, die entscheidet, die Befristung und die Dokumentation der Begründung. Wie die Themen einer Richtlinienlandschaft gegliedert werden, zeigt die Vorlage IT-Sicherheitsrichtlinien.
Freigabe allein macht eine Richtlinie nicht wirksam
Eine freigegebene Richtlinie wirkt erst, wenn die Betroffenen sie kennen und anwenden. Die Lenkung aller dokumentierten Information regelt Abschnitt 7.5 der ISO/IEC 27001.
Wirksam wird die Richtlinie durch vier weitere Schritte:
- aktive Bekanntgabe statt stiller Ablage
- Schulung bei wesentlichen Änderungen
- dokumentierte Kenntnisnahme dort, wo unmittelbare Pflichten für Beschäftigte entstehen
- Prüfung der tatsächlichen Anwendung im internen Audit
Wirksam bleibt ein Regelwerk nur, wenn jede Verfahrensanweisung einen benannten Verantwortlichen hat und abgelöste Fassungen zurückgezogen werden. Berührt eine Regelung Verhalten oder Leistung von Beschäftigten, kann sie der Mitbestimmung unterliegen; klären Sie die Beteiligung des Betriebsrats deshalb früh.