



ISO/IEC 27001 Auditorin & QM-Fachexpertin (ISO 9001)
December 11, 2025
4 Minuten
Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
Die Managementbewertung gewinnt an Bedeutung, wenn sie nicht als Pflicht, sondern als strategisches Instrument zur gezielten Steuerung von Qualität und Unternehmensleistung verstanden wird.
Richtig genutzt, liefert sie der Geschäftsführung die Grundlage, um Ressourcen, Risiken und Chancen gezielt zu steuern.
Wirklicher Mehrwert entsteht, wenn die beschlossenen Maßnahmen konsequent nachverfolgt und nachhaltig in den Arbeitsalltag integriert werden.
Eine wirksame Managementbewertung verknüpft das Qualitätsmanagement mit den Unternehmenszielen und treibt nachhaltige Verbesserungen voran.
Fühlen Sie sich auch so? Einmal im Jahr blockiert ein Termin den Kalender der gesamten Führungsebene, der sich oft wie eine lästige Pflichtübung anfühlt: die Managementbewertung nach ISO 9001. Man arbeitet Checklisten ab, präsentiert Datenkolonnen und am Ende atmen alle auf, dass es für ein weiteres Jahr erledigt ist.
Was aber, wenn dieser Termin nicht die Pflicht, sondern die Kür wäre? Stellen Sie sich die Managementbewertung als das strategische Cockpit Ihres Unternehmens vor. Es ist der eine Moment im Jahr, in dem Sie nicht nur im Tagesgeschäft fliegen, sondern aufsteigen, die gesamte Flugroute betrachten und den Kurs für die Zukunft neu justieren.
Dieser Leitfaden verwandelt die Pflicht in ein leistungsstarkes Werkzeug. Wir zeigen Ihnen, wie Sie die Managementbewertung so gestalten, dass sie echte, messbare Verbesserungen anstößt – von der perfekten Agenda über die obligatorischen Inhalte bis hin zum entscheidenden Follow-up.
Viele verwechseln die Managementbewertung mit einem internen Audit. Doch während ein Audit prüft, ob Sie die Regeln befolgen (Konformität), stellt die Managementbewertung eine viel fundamentalere Frage: Sind unsere Regeln überhaupt noch die richtigen, um unsere Ziele zu erreichen?
Kurz gesagt:
Es ist die offizielle Bestandsaufnahme der Geschäftsführung, um sicherzustellen, dass das QMS dem Unternehmen dient und nicht umgekehrt.
Die Norm ISO 9001 (im Kapitel 9.3.2) gibt eine klare Liste an „Eingaben“ vor, die in der Bewertung behandelt werden müssen. Sehen wir uns diese nicht als Checkliste, sondern als Gesprächsleitfaden für ein strategisches Meeting an.
Die Frage: Haben wir umgesetzt, was wir uns beim letzten Mal vorgenommen haben?
In der Praxis: Beginnen Sie das Meeting mit dem Maßnahmenplan des Vorjahres. Wurden die Ziele erreicht? Wenn nicht, warum? Dies schafft Verbindlichkeit und stellt sicher, dass Beschlüsse nicht im Sand verlaufen.
Die Frage: Hat sich unsere Welt verändert?
In der Praxis: Analysieren Sie, was sich seit der letzten Bewertung getan hat. Das können neue Gesetze, veränderte Marktbedingungen, neue Wettbewerber (externe Themen) oder eine neue Unternehmensstrategie, hohe Mitarbeiterfluktuation oder neue Technologien (interne Themen) sein.
Dies ist das Herzstück der Bewertung und umfasst mehrere Punkte:
Die Frage: Haben wir, was wir brauchen, um erfolgreich zu sein?
In der Praxis: Hier geht es um mehr als nur Budget. Sprechen Sie über Personal, Kompetenzen, Infrastruktur und die Arbeitsumgebung. Fehlen wichtige Qualifikationen im Team? Ist die IT-Ausstattung noch zeitgemäß?
Die Frage: Funktionieren unsere Pläne zur Risikominimierung und Chancennutzung?
In der Praxis: Gehen Sie Ihre Risikobewertung durch. Sind die identifizierten Risiken eingetreten? Waren unsere Gegenmaßnahmen effektiv? Welche neuen Chancen haben sich ergeben und haben wir sie genutzt?
Die Frage: Wo können und müssen wir besser werden?
In der Praxis: Dies ist der kreative Teil. Sammeln Sie basierend auf allen vorherigen Punkten konkrete Ideen zur Verbesserung von Prozessen, Produkten oder des gesamten QMS.
Eine gute Agenda sorgt für Struktur und Effizienz. Statt nur die Normpunkte abzuhaken, sollte sie eine logische Geschichte erzählen: Wo kommen wir her, wo stehen wir, und wo wollen wir hin?
Muster-Agenda für Ihre Managementbewertung:
TOP 1: Eröffnung und Rückblick (15 Min.)
TOP 2: Analyse der QMS-Leistung (45 Min.)
TOP 3: Strategischer Kontext (30 Min.)
TOP 4: Ressourcen-Check (15 Min.)
TOP 5: Festlegung der Verbesserungsmaßnahmen (30 Min.)
TOP 6: Festlegung der Ergebnisse (Outputs) (15 Min.)
TOP 7: Zusammenfassung und nächste Schritte (10 Min.)
Selbst mit der besten Agenda kann eine Managementbewertung scheitern. Hier sind die häufigsten Fallstricke:
Eine Managementbewertung ist nur so gut wie die Maßnahmen, die daraus resultieren. Die ISO 9001 fordert daher auch klare „Ergebnisse“ (Outputs), die dokumentiert werden müssen.
Am Ende des Meetings müssen klare Entscheidungen und Maßnahmen dokumentiert sein. Dazu gehören laut Norm (Kapitel 9.3.3):
Der beste Weg, dies festzuhalten, ist ein einfacher, aber verbindlicher Maßnahmenplan. Dieser sollte mindestens enthalten:
In vielen modernen Unternehmen wird die Wirksamkeit von Managementsystemen nicht mehr isoliert betrachtet. Anforderungen aus der Informationssicherheit (z.B. nach den Anforderungen der ISO 27001) sind oft eng mit Qualitätsprozessen verknüpft. Eine gut durchgeführte Managementbewertung bietet die Chance, diese Synergien zu erkennen und zu nutzen. Wer sich zum Beispiel entscheidet, sein Unternehmen ISO 27001 zertifizieren zu lassen, wird feststellen, dass die Prinzipien einer effektiven Managementbewertung universell sind.
Die Managementbewertung nach ISO 9001 ist weit mehr als eine formale Anforderung zur Aufrechterhaltung eines Zertifikats. Sie ist eine wiederkehrende Chance, das eigene Handeln zu hinterfragen, aus Daten zu lernen und das Unternehmen bewusst auf Kurs zu halten.
Wenn Sie den Prozess von einer reinen Pflichterfüllung zu einem echten strategischen Dialog machen, gewinnen Sie nicht nur ein konformes, sondern ein lebendiges und lernendes Managementsystem. Und genau das ist der Unterschied zwischen einem Unternehmen, das Qualität verwaltet, und einem, das durch Qualität wächst.
Moderne Unternehmen nutzen heute digitale Lösungen, um die Dokumentation und das Nachverfolgen von Maßnahmen aus Audits und Bewertungen zu zentralisieren. Ein Digital Compliance Office kann dabei helfen, den administrativen Aufwand zu reduzieren und den Fokus auf das Wesentliche zu legen: die kontinuierliche Verbesserung.
Die Norm fordert explizit die „oberste Leitung“. Das bedeutet, die Personen, die das Unternehmen auf höchster Ebene strategisch steuern und lenken. Der QMB ist in der Regel als Organisator und Datenlieferant dabei.
Die ISO 9001 schreibt „in geplanten Abständen“ vor. In der Praxis hat sich ein jährlicher Rhythmus etabliert. Bei schnellen Marktveränderungen oder internen Umstrukturierungen können aber auch kürzere Intervalle sinnvoll sein.
Das Audit prüft die Konformität des Systems („Machen wir die Dinge richtig?“). Die Managementbewertung prüft die Wirksamkeit und Eignung des Systems („Machen wir die richtigen Dinge?“).
Ja. Die Norm fordert, dass „dokumentierte Informationen“ als Nachweis für die Ergebnisse der Managementbewertungen aufbewahrt werden. Das ist in der Regel ein Protokoll mit dem zugehörigen Maßnahmenplan.

Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.

Viele Unternehmen unterschätzen die Rolle der Kommunikation im Cybervorfall und riskieren damit unter NIS2 hohe Bußgelder und Vertrauensverlust. Dieser Leitfaden zeigt, wie Sie in den ersten 24 Stunden strukturiert, schnell und souverän handeln – von der Erstmeldung an Behörden bis zur klaren internen und externen Kommunikation. So behalten Sie die Kontrolle über die Situation, statt sie an Gerüchte und Krisendruck zu verlieren.
.avif)
Informationssicherheit leicht gemacht: Übersicht, Ziele und Maßnahmen erklären wir in diesem Beitrag.

Viele Unternehmen nutzen bereits GPAI wie ChatGPT oder andere KI-Basismodelle, doch mit dem EU AI Act steigen die Anforderungen an Risikoklassifizierung und Verantwortung deutlich. Dieser Leitfaden erklärt verständlich, wie systemische Risiken, Haftungsketten und Pflichten für GPAI-Anbieter und Anwender einzuordnen sind. Erfahren Sie praxisnah, wie Sie Ihre KI-Nutzung rechtssicher gestalten und EU-AI-Act-Compliance strategisch umsetzen.