Managementbewertung nach ISO 9001

Die ISO 9001 fordert von Organisationen, ihr Qualitätsmanagementsystem regelmäßig zu überprüfen und zu bewerten. Diese Überprüfung heißt Managementbewertung oder Management Review. Sie ist kein einmaliges Audit, sondern ein laufender Prozess, bei dem die Geschäftsleitung die Effektivität des QMS prüft, Abweichungen erkennt und Verbesserungen einleitet.

Was ist eine Managementbewertung nach ISO 9001?

Definition Kapitel 9.3

Kapitel 9.3 der ISO 9001 definiert die Managementbewertung als ein strukturiertes Überprüfungsverfahren. Die oberste Leitung muss in regelmäßigen Abständen das QMS überprüfen, um sicherzustellen, dass es weiterhin wirksam, angemessen und dem strategischen Geschäftszweck förderlich ist. Die Management Review ist keine technische Prüfung wie ein Audit, sondern eine strategische Führungsaufgabe.

Die Norm schreibt vor, dass diese Bewertung Inputs (Eingangsinformationen) verarbeitet und zu Outputs (Ergebnissen und Entscheidungen) führt. Was als Input und Output gilt, ist in der Norm genau definiert. Viele Organisationen verwechseln Management Reviews mit Compliance-Audits. Der Unterschied ist fundamental: Ein Audit prüft die Einhaltung von Anforderungen. Eine Management Review bewertet die Wirksamkeit des Systems als Ganzes.

Warum Management Review?

Eine Management Review soll zwei Dinge sicherstellen: Erstens, dass das QMS noch passt. Es darf nicht durch veränderte Geschäftsanforderungen, neue Risiken oder organisatorische Veränderungen überholt sein. Zweitens, dass das System tatsächlich funktioniert und die geplanten Maßnahmen zum Erfolg führen, nicht nur auf dem Papier existieren.

Ohne regelmäßige Management Reviews verkommt das QMS zu Dokumentation ohne praktischen Nutzen. Mit Management Reviews wird es zu einem Steuerungsinstrument, das die Geschäftsleitung bei strategischen Entscheidungen unterstützt.

Inputs der Managementbewertung

Die Management Review kann nur so gut sein wie die Eingangsdaten, auf denen sie basiert. Die Norm nennt sieben Eingangsinformationen, die berücksichtigt werden müssen:

Auditergebnisse

Die Ergebnisse interner und externer Audits sind zentrale Inputquellen. Interne Audits zeigen, wo das QMS in der eigenen Organisation nicht funktioniert. Externe Audits (z.B. ISO-9001-Audits durch Zertifizierungsstellen) geben eine unabhängige Perspektive. Bei der Managementbewertung werden diese Auditergebnisse kritisch analysiert: Welche Abweichungen deuten auf systematische Schwächen hin? Welche Bereiche des QMS sind besonders anfällig?

Kundenzufriedenheit

Kundenfeedback ist ein Indikator für die externe Wirksamkeit des QMS. Ist die Kundenreklamationsquote gestiegen? Sind Rückgaben häufiger geworden? Hat die Zufriedenheit abgenommen? Diese Metriken zeigen, dass das QMS nicht mehr die Kundenerwartungen erfüllt, auch wenn intern alle Prozesse ordnungsgemäß ablaufen.

Prozessleistung

Die Leistung der Schlüsselprozesse ist ein harter Messstab für die QMS-Wirksamkeit. Hierzu gehören Durchlaufzeiten, Fehlerquoten, Effizienzindikatoren und Kostenentwicklungen in den kritischen Prozessen (Produktion, Einkauf, Lieferkette, Service). Wenn die Prozessleistung sinkt, während die Dokumentation unverändert bleibt, ist das QMS überholt.

Status Korrekturmaßnahmen

Aus früheren Management Reviews resultierten Korrekturmaßnahmen. Der Status dieser Maßnahmen (umgesetzt, verzögert, nicht angefangen) muss in jeder neuen Management Review überprüft werden. Wenn drei Managementbewertungen hintereinander dasselbe Problem identifizieren, ohne dass eine wirksame Maßnahme erfolgt, ist das ein Umsetzungsdefizit, das nicht ignoriert werden darf.

Outputs und Entscheidungen

Die Managementbewertung führt zu Entscheidungen. Diese müssen dokumentiert werden und sind in der Norm als Outputs aufgelistet:

• Entscheidungen zur Verbesserung der Wirksamkeit des QMS
• Bedarf an Ressourcen (Personal, Budget, Infrastruktur)
• Bedarf an Änderungen am QMS selbst (z.B. neue Prozesse, andere Dokumentation)
• Maßnahmen zur Risikominderung und Chancennutzung
• Verbesserungen für die Qualitätsziele und deren Erreichung

Diese Outputs sind nicht optionale Ideen, sondern Verpflichtungen. Die Geschäftsleitung dokumentiert, welche Maßnahmen aus der Management Review folgen, wer verantwortlich ist und bis wann die Umsetzung erfolgt.

Häufigkeit und Dokumentation

Die ISO 9001 schreibt vor, dass Management Reviews in "angemessenen Zeitabständen" durchgeführt werden. Die Norm nennt keine konkrete Häufigkeit. Typischerweise ist eine jährliche Management Review der Standard. Manche Organisationen führen zwei pro Jahr durch: eine strategische im Frühjahr und eine Nachkontrolle im Herbst. Kleinere Organisationen können mit einer halbjährlichen Bewertung ausreichend abgesichert sein.

Entscheidend ist: Die Häufigkeit muss dokumentiert sein. Die Managementbewertung muss protokolliert werden mit Datum, Teilnehmern, Inputs, diskutierten Ergebnissen, Entscheidungen und nächsten Schritten. Das Protokoll ist ein Pflichtdokument, das bei der Zertifizierungsaudit vorgelegt wird.

Managementbewertung mit SECJUR vorbereiten und dokumentieren

Viele Organisationen bereiten die Management Review unstrukturiert vor: Daten werden notfalls zusammengesucht, Inputs sind verstreut in E-Mails oder Tabellen, die Debatte läuft ohne klare Agenda. Das Ergebnis sind vage Entscheidungen, die sich nicht in Maßnahmen übersetzen.

Mit einer ISMS-Plattform wie SECJUR können Organisationen die Managementbewertung strukturiert vorbereiten. Die Plattform sammelt Auditergebnisse, Kundenfeedback und Prozessmetriken an einer zentralen Stelle, statt dass die Geschäftsleitung jedes Jahr neu nach Daten suchen muss. Vorlagen für Management-Review-Protokolle sind hinterlegt und können an die Organisationsstruktur angepasst werden. Die Vorbereitungszeit sinkt erheblich.

Ein weitere Vorteil: Dokumentierte Korrekturmaßnahmen sind im System verfolgbar. Bei der nächsten Management Review wird automatisch sichtbar, welche Maßnahmen aus der letzten Bewertung umgesetzt wurden und welche verzögert sind. Plattformen wie SECJUR bieten auch Workflows für die regelmäßige Nachverfolgung, sodass Maßnahmen nicht vergessen werden.

"Die Managementbewertung ist kein Erfüllungspflicht-Haken neben dem Qualitätsmanagement. Sie ist das Steuerinstrument, mit dem die Geschäftsleitung überprüft, ob das QMS dem Unternehmen noch dient oder ob es angepasst werden muss. Wer das nicht ernst nimmt, hat kein wirksames QMS, sondern nur ein dokumentiertes."

Bettina Stearn, ISO/IEC 27001 Auditorin & QM-Fachexpertin bei SECJUR