



ISO/IEC 27001 Auditorin & QM-Fachexpertin (ISO 9001)
23 Mar 2026
8–9 min
Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
Qualitätsmanagement ist ein organisationsweiter Prozess, der Qualität von Anfang an plant und sichert – nicht nur am Ende kontrolliert.
ISO 9001 ist der weltweit anerkannte Standard für QMS und definiert Anforderungen statt detaillierte Vorgaben; branchenspezifische Standards bauen darauf auf.
Die sieben QM-Grundsätze (Kundenorientierung, Führung, Mitarbeiter, Prozesse, kontinuierliche Verbesserung, Fakten, Lieferanten) sind das Fundament jedes wirksamen QMS.
QM-Software wie SECJUR DCO digitalisiert Dokumentation, Audits und Abweichungsmanagement und verbindet QM mit anderen Compliance-Standards.
Qualitätsmanagement (QM) ist ein zentraler Bestandteil jeder Organisationsstruktur – egal ob KMU, mittelständisches Unternehmen oder Großkonzern. Es unterscheidet sich vom reinen Qualitätskontrollgedanken dadurch, dass es die gesamte Organisation umfasst und nicht nur am Ende der Produktion ansetzt. In diesem Artikel definieren wir, was Qualitätsmanagement ist, welche Normen und Ansätze es gibt, und wie Sie es in Ihrem Unternehmen systematisch aufbauen.
Qualitätsmanagement ist die Gesamtheit aller Maßnahmen und Tätigkeiten, die dazu dienen, die Qualität von Produkten und Dienstleistungen zu definieren, zu sichern und kontinuierlich zu verbessern. Das bedeutet: QM beginnt nicht bei der Endkontrolle. Es beginnt bei der Planung und zieht sich durch alle Prozesse bis zur Kundenzufriedenheit.
Die ISO 9001:2015 definiert Qualitätsmanagement als eines der acht Managementprinzipien eines Managementsystems. Das unterscheidet es konzeptionell von Qualitätskontrolle (QK), die nur die Überprüfung von Produkten oder Prozessschritten auf Fehler umfasst. Ein QM-System dokumentiert, wie Qualität entsteht – nicht nur, wie Fehler gefunden werden.
Zentrale Begriffe im QM sind:
Ein QMS ist die Organisationsstruktur aus Prozessen, Rollen, Verantwortlichkeiten und Ressourcen, die ein Unternehmen aufbaut, um Qualität zu sichern. Es ist das formale Gerüst, in dem QM-Aktivitäten stattfinden – dokumentiert, messbar und überprüfbar.
Konkrete, messbare Ziele, die ein Unternehmen festlegt – z.B. "Fehlerquote auf maximal 0,5 %" oder "Lieferzeit von 48 Stunden". Qualitätsziele sind das, woran QM gemessen wird.
Der operative Teil – die Überprüfung von Produkten oder Prozessschritten. QK ist ein Element des QMS, nicht das ganze System.
Qualitätssicherung ist nicht neu, aber ihre Ausprägung hat sich grundlegend verändert. In der Frühindustrialisierung war Qualität gleichbedeutend mit Inspektion: Am Ende der Fertigung prüfte der Qualitäter die Produkte und sortierte Fehler aus. Das war teuer, aufwendig und lenkte Ressourcen auf das Beheben von Fehlern nach dem Fait accompli.
In den 1920er Jahren begann eine Verschiebung. Statistiker wie Walter Shewhart (Bell Laboratories) erkannten, dass Qualität nicht nur durch Inspektion entsteht – sie entsteht durch Prozessbeherrschung. Sein Konzept der statistischen Prozesskontrolle legte den Grundstein dafür, dass Qualität geplant und überwacht wird, bevor fehlerhafte Teile entstehen.
Nach dem Zweiten Weltkrieg verbreiteten sich diese Konzepte rasant in Japan, wo Deming und Juran die modernen QM-Philosophien prägten. Sie betonten: Qualität ist nicht Kostentreiber – sie ist Kostensenker, weil Fehler vermieden statt nachgelagert behoben werden. Dieses Denken prägt bis heute die Best Practices.
Aus dieser philosophischen Grundlage entstanden mehrere konkrete Management-Ansätze:
Ein umfassender Ansatz, der die gesamte Unternehmenskultur auf Qualität ausrichtet. Nicht nur Prozesse, sondern auch Menschen (Training, Empowerment) und kontinuierliche Verbesserung sind zentral. TQM ist ein Mindset, keine Norm – daher sind TQM-Implementierungen oft unternehmensspezifisch und schwerer zu standardisieren.
Ein statistische Methode, die darauf abzielt, Fehlerquoten auf unter 3,4 pro Million Ereignisse zu senken. Six Sigma ist sehr datengetrieben und prozessoptimierungsfokussiert. Es funktioniert besonders gut in fertigungsintensiven Branchen, bei denen sich Fehler präzise messen lassen.
Ursprünglich aus der Toyota Production System, fokussiert Lean auf Verschwendungsabbau (Muda). Qualität ist ein Nebeneffekt von schlanken Prozessen. Lean wird oft mit Six Sigma kombiniert (Lean Six Sigma), um sowohl Durchsatz als auch Qualität zu optimieren.
Standards geben QM ein einheitliches Sprache und Struktur. Die wichtigsten sind:
Die ISO 9001 ist der weltweit anerkannte Standard für Qualitätsmanagementsysteme. Sie definiert nicht, wie QM aussieht (nicht "bauen Sie das so"), sondern sagt, welche Elemente ein QMS haben muss und wie diese dokumentiert und überwacht werden müssen.
ISO 9001 ist prozessorientiert. Das bedeutet: Nicht einzelne Kontrollschritte stehen im Fokus, sondern die Abläufe, die sicherstellen, dass Qualität entsteht. Die Norm fordert:
ISO 9001 ist branchen-unabhängig – sie funktioniert genauso in einer Maschinenfabrik wie in einer Softwareentwicklung oder einer Anwaltskanzlei. Für Branchenspezifika gibt es aber Erweiterungen: ISO 9001 Anforderungen und praktische Umsetzung behandelt die Details; branchenspezifische Standards bauen darauf auf.
Das EFQM Excellence Model (European Foundation for Quality Management) ist kein Standard mit Zertifizierung, sondern ein Bewertungsframework für Organisatorische Exzellenz. Es bewertet neun Bereiche: Führung, Strategie, Personal, Partnerschaften, Prozesse, Kundenergebnisse, Mitarbeiterergebnisse, Gesellschaftsergebnisse und Geschäftsergebnisse.
EFQM ist weniger rigoros als ISO 9001, aber auch breiter: Es umfasst nicht nur Qualitätsprozesse, sondern Leadership, Innovation und gesellschaftliche Wirkung. Unternehmen verwenden EFQM eher für interne Selbstbewertung und Verbesserung statt für externe Zertifizierung.
Viele Branchen bauen auf ISO 9001 auf und erweitern sie um branchenspezifische Anforderungen:
| Branche | Standard | Fokus |
|---|---|---|
| Automobilindustrie | IATF 16949, VDA ISA | Lieferkettensicherheit, Informationssicherheit (VDA ISA) |
| Medizinprodukte | ISO 13485 | Regulatorische Konformität, Traceability |
| Luftfahrt | AS9100 | Sicherheitskritische Prozesse |
| Lebensmittel | ISO 22000, FSSC 22000 | Lebensmittelsicherheit |
| Software/IT | ISO/IEC 90003 | Softwarequality, Code Review, Testing |
Für jeden dieser Standards gelten die Grundprinzipien des QM – nur eben mit branchenspezifischem Zuschnitt. Wenn Sie in der Automobilindustrie tätig sind, orientieren Sie sich am VDA ISA statt am generischen ISO 9001 allein.
Die ISO 9001:2015 definiert sieben Managementprinzipien, die jedes wirksame QMS durchziehen sollte:
1. Kundenorientierung
Der Fokus liegt nicht auf inneren Prozessen, sondern auf den Anforderungen und Erwartungen des Kunden. Ein QMS muss diese verstehen und erfüllen – nicht nur das, was intern machbar ist.
2. Führung
Die Geschäftsführung muss Qualität vorleben und das QMS in die Unternehmensstrategie einbetten. Wenn die Führung QM nur als Compliance-Pflicht sieht, wird das QMS nie funktionieren.
3. Mitarbeiterorientierung
Mitarbeiter müssen verstehen, warum QM wichtig ist. Schulungen, Kommunikation und Empowerment sind zentral. QM funktioniert nicht ohne die Beteiligung der Menschen, die es umsetzen.
4. Prozessorientierung
Qualität entsteht durch gut gestaltete, dokumentierte und überwachte Prozesse. Nicht durch Kontrolle am Ende, sondern durch Design am Anfang.
5. Kontinuierliche Verbesserung
QM ist nicht statisch. Prozesse müssen regelmäßig überprüft, Fehler analysiert und Verbesserungen umgesetzt werden. Der Plan-Do-Check-Act-Zyklus ist das Herzstück.
6. Faktengestützte Entscheidungen
Qualitätsentscheidungen dürfen nicht auf Intuition basieren. Daten, Messungen und Analysen sind die Basis für Verbesserungen. Ohne Messung keine Verbesserung.
7. Lieferantenbeziehungen
Qualität hängt auch von Lieferanten ab. Ein QMS muss Lieferanten einbeziehen, überprüfen und ggf. weiterentwickeln.
In einem operativen QMS sehen typische Prozesse so aus:
Prozessdokumentation
Jeder relevante Prozess (Produktion, Verkauf, Service) wird dokumentiert: Was wird getan? Wer ist verantwortlich? Welche Schritte sind es? Wo entstehen Qualitätsrisiken?
Qualitätsziele und KPIs
Messbare Ziele werden festgelegt (z.B. max. 0,5% Fehlerquote, Liefertreue 98%). Diese Ziele sind die Richtschnur, ob das QMS funktioniert.
Lieferantenmanagement
Lieferanten werden bewertet und überprüft. Fehler in der Lieferkette führen zu Reklamationen, daher muss die Eingangskontrolle strukturiert sein.
Überwachung und Messung
Prozesse werden kontinuierlich überwacht (Daten sammeln, Trends erkennen). Wenn ein KPI verfehlt wird, werden Abweichungen sofort identifiziert.
Fehleranalyse und Korrekturmaßnahmen
Wenn Fehler auftreten, wird die Ursache analysiert (nicht symptomatisch, sondern systematisch). Die Korrekturmaßnahme behebt die Ursache, nicht nur das Symptom.
Interne Audits
Regelmäßig (meist 1-4x pro Jahr) führt ein Auditor überprüfen, ob die Prozesse wirklich so ablaufen wie dokumentiert. Das ist die interne Kontrolle des QMS selbst.
Ein funktionierendes QMS braucht klar definierte Rollen und Verantwortlichkeiten:
Der QMB ist oft eine Vollzeitstelle (in größeren Organisationen) oder eine Nebenfunktion (in KMU). Aufgaben: Dokumentation der Prozesse, Planung von Audits, Verfolgung von Abweichungen, Schulungen koordinieren, Managementbewertung vorbereiten. Der QMB ist der "Hüter des QMS" und reports an die Geschäftsführung oder den Leiter eines Departments.
Ein Mitarbeiter (oder mehrere) mit spezieller Schulung, der die Prozesse unabhängig überprüft. Der Auditor ist nicht der QMB – Unabhängigkeit ist zentral. Ein Auditor kann sein: Mitarbeiter aus einer anderen Abteilung, externe Auditor auf Vertragsbasis, oder spezialisierte interne Revision.
Die Geschäftsführung trägt die Gesamtverantwortung für das QMS – nicht nur formal, sondern aktiv. Sie allokiert Ressourcen, priorisiert Qualitätsziele, überprüft die Managementbewertung und zeigt durch ihr Verhalten, dass Qualität ernst gemeint ist. Ein QMS ohne Geschäftsführungs-Rückhalt bleibt Papier.
"Qualitätsmanagement ist nicht die Aufgabe eines QMBs oder eines Audit-Departments. Es ist die tägliche Denkweise jedes Mitarbeiters: Wie mache ich meine Arbeit so, dass der nächste Schritt leicht wird, und dass am Ende der Kunde gewinnt. Die formale Struktur (Rollen, Prozesse, Dokumentation) trägt diese Kultur nur, wenn sie gelebt wird."
Bettina Stearn, ISO/IEC 27001 Auditorin & QM-Fachexpertin bei SECJUR
Ein QMS funktioniert auch noch mit Exceltabellen und Word-Dokumenten. Aber es wird schnell unübersichtlich: Prozessänderungen müssen in 20 Dateien aktualisiert werden, Audit-Ergebnisse sind verstreut, Abweichungen werden übersehen.
Moderne QM-Software zentralisiert alle Informationen:
Plattformen wie SECJUR DCO (Digital Compliance Office) digitalisieren diese Prozesse und verbinden QM mit anderen Compliance-Anforderungen (ISO 27001, NIS2). Der Vorteil: Ein zentrales System für alle Standards, statt separate Software für Qualität, Sicherheit, Datenschutz.
Ein Beispiel aus der Praxis: Ein Automobilzulieferer, der ISO 9001 und VDA ISA erfüllen muss, kann in SECJUR beide Standards abbilden. Eine Änderung in der Lieferkette ist dann nicht nur eine Anpassung des Qualitätsprozesses, sondern aktualisiert automatisch die Sicherheitsdokumentation.
Wenn Sie gerade mit QM-Aufbau beginnen, folgen Sie dieser bewährten Roadmap:
Entscheidung treffen: Ziel und Scope
Klären Sie: Wollen Sie ISO 9001 zertifizieren, oder bauen Sie ein internes QMS auf? Welche Prozesse sind im Scope? (Produktion, Vertrieb, Service?). Diese Entscheidung bestimmt den Umfang.
Gap-Analyse
Checken Sie: Wo sind die Prozesse heute dokumentiert? Wo gibt es Lücken? Welche Qualitätsziele existieren schon? Diese Analyse zeigt, wie viel Aufbau nötig ist.
Rollen und Ressourcen klären
Wer wird QMB? Wer ist die Geschäftsführungs-Vertretung? Wer schult die Teams? Ohne klare Verantwortlichkeiten bleibt QM eine niemandes Aufgabe.
Prozessdokumentation
Dokumentieren Sie die kritischen Prozesse. Nicht jeder Prozess braucht ein 50-seitiges Handbuch – aber die Kernprozesse müssen so dokumentiert sein, dass ein neuer Mitarbeiter sie verstehen und replizieren kann.
Qualitätsziele und KPIs setzen
Definieren Sie, woran Sie sehen, dass das QMS funktioniert. "Fehlerquote maximal 0,5 %", "Liefertreue 98 %", "Audit-Befunde pro Jahr unter 5". Diese Ziele sind konkret und messbar.
Software / Digitalisierung
Für KMU: Excel und geteilte Ordner reichen am Anfang. Für mittlere und größere Unternehmen: Ein QM-System (oder ein integriertes Compliance-System wie SECJUR DCO) zentralisiert Dokumentation und Audit-Management und wächst mit Ihnen.
Schulungen und Kommunikation
Die Teams müssen verstehen, warum QM wichtig ist und wie sie es umsetzen. Schulungen sollten nicht einmalig sein, sondern regelmäßig wiederholt und aktualisiert werden.
Initiale Audits und kontinuierliche Verbesserung
Nach 3-6 Monaten: Erstes internes Audit durchführen. Sind die dokumentierten Prozesse die echten? Gibt es Gaps? Die Audit-Ergebnisse sind der Input für den nächsten Verbesserungszyklus.
Ein wichtiger Tipp: Nicht alle Prozesse auf einmal digitalisieren oder perfekt dokumentieren. Machen Sie es inkrementell – die kritischsten Prozesse zuerst, dann nach 3-6 Monaten die nächsten. Wenn alles auf einmal passiert, wird das System überwältigend und die Akzeptanz sinkt.
Lesen Sie auch unsere detaillierten Guides für die nächsten Schritte: ISO 9001 Standards und Umsetzung, Qualitätsmanagementsystem (QMS) und Qualitätsziele nach ISO 9001. Und wenn Sie ein Qualitätsmanagementsystem aufbauen wollen, ohne Jahre mit Consulting zu verbringen: QM-System aufbauen zeigt, wie Plattformen wie SECJUR DCO den Prozess beschleunigen.

Bettina Stearn ist zertifizierte ISO/IEC 27001 Auditorin und Beraterin für Datenschutz und Informationssicherheit. Mit mehr als 15 Jahren Erfahrung in Informationssicherheit, Qualitätsmanagement und Datenschutz begleitet sie Organisationen bei der Einführung und Zertifizierung von Managementsystemen nach internationalen Standards. Neben ihrer Spezialisierung auf ISO 27001 und TISAX® verfügt sie über umfangreiche Erfahrung in der Implementierung und Auditierung von Managementsystemen nach ISO 9001 sowie eine Ausbildung zur QM-Fachexpertin (TÜV SÜD). Ihr Fokus liegt auf der sicheren und effizienten Umsetzung regulatorischer Anforderungen – von NIS2 über TISAX® bis hin zur KI-Compliance nach EU-Vorgaben. Dabei verbindet sie technisches Know-how mit strategischem Blick für nachhaltige Sicherheitsstrukturen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema

Für Kleinunternehmen ist ISO 9001 nicht ein Compliance-Behemoth, sondern ein pragmatisches Managementsystem. Lohnt sich die Zertifizierung?

Ein Remote Audit nach ISO 9001 ist längst mehr als eine Notlösung, es ist der nächste Schritt in der digitalen Qualitätssicherung. Dieser Leitfaden zeigt, wie Sie Ihr Audit effizient, sicher und stressfrei online durchführen. Lernen Sie, wie gute Planung, klare Kommunikation und der richtige Technologieeinsatz aus einem Pflichttermin ein modernes Steuerungsinstrument für Ihr QMS machen.

Viele Unternehmen erfüllen die ISO 9001, ohne das Prinzip des risikobasierten Denkens vollständig umzusetzen. Dieser Leitfaden zeigt praxisnah, wie sich Risiken und Chancen gezielt erkennen, bewerten und steuern lassen. So entsteht ein Qualitätsmanagementsystem, das vorausschauend agiert und Risikomanagement zu einem zentralen Erfolgsfaktor für Qualität, Stabilität und nachhaltiges Wachstum macht.