Was in der ISO 9001 Pflicht ist und was nicht

In der ISO 9001 sind grundsätzlich alle Anforderungen der Kapitel 4 bis 10 Pflicht. Einzelne können aber für euer Unternehmen nicht zutreffen. Hier erfahrt ihr, was Pflicht ist und wann eine Anforderung wegfallen darf.

Was die ISO 9001 verlangt

Die ISO 9001 ist die internationale Norm für Qualitätsmanagement. Laut Kapitel 1 (Anwendungsbereich der Norm) sind ihre Anforderungen allgemein gehalten und passen auf jede Organisation. Kapitel 4.3 wird konkreter. Dort legt ihr den Anwendungsbereich eures Qualitätsmanagementsystems (QMS) fest, also für welche Teile eures Unternehmens es gilt. Innerhalb dieses Bereichs müsst ihr alle Anforderungen anwenden, die anwendbar sind. Eine Anforderung darf nur dann als nicht zutreffend gelten, wenn alle drei Bedingungen erfüllt sind:

1. Sie lässt sich in eurem QMS tatsächlich nicht anwenden.
2. Ihr könnt trotzdem Produkte und Dienstleistungen liefern, die alle Anforderungen erfüllen (die Norm spricht von „konform“), und eure Kunden zufriedener machen. Eure Fähigkeit und Verantwortung dafür leidet also nicht.
3. Ihr haltet die Begründung im dokumentierten Anwendungsbereich fest.

Den Begriff „Ausschluss“ verwendet die Norm seit 2015 nicht mehr. Im Alltag hört man ihn trotzdem oft. Wie ihr den Anwendungsbereich formuliert und wo die Begründungen hingehören, beschreibt der Artikel zum Geltungsbereich. Hier geht es um die Frage davor: Was ist überhaupt Pflicht?

Was Pflicht ist und was nicht

Für die Einordnung helfen drei Ebenen:

Pflicht-Unterlagen (dokumentierte Information)

Die Norm spricht von dokumentierter Information. Gemeint ist alles, was ihr schriftlich oder digital festhaltet. An bestimmten Stellen verlangt sie das ausdrücklich. Die Norm unterscheidet zwei Arten.

Zum Aufrechterhalten, also als gepflegtes Dokument, gehören vor allem:

• der Anwendungsbereich des QMS (4.3),
• die Qualitätspolitik (5.2),
• die Qualitätsziele (6.2),
• Informationen zu den Abläufen, soweit sie für die Arbeit nötig sind (4.4, 8.1).

Zum Aufbewahren, also als Nachweis, gehören unter anderem:

• Nachweise zu Prüf- und Messmitteln und zu deren Kalibrierung (7.1.5),
• Nachweise der Kompetenz eurer Mitarbeitenden (7.2),
• Ergebnisse der Prüfung von Kundenanforderungen (8.2.3),
• Nachweise zur Entwicklung, falls Kapitel 8.3 zutrifft (8.3.2 bis 8.3.6),
• Bewertung und Auswahl externer Anbieter, also von Lieferanten und Dienstleistern (8.4.1),
• Nachweise zur Freigabe (8.6) und zu nichtkonformen Ergebnissen, also Ergebnissen, die Anforderungen nicht erfüllen (8.7),
• Ergebnisse von Überwachung und Messung (9.1.1), von internen Audits (9.2) und der Managementbewertung (9.3),
• Nichtkonformitäten, also Abweichungen von Anforderungen, und Korrekturmaßnahmen (10.2).

Ein internes Audit ist eine geplante Prüfung, ob ihr eure eigenen Regeln und die Norm einhaltet. Die Managementbewertung ist die regelmäßige Bilanz der Geschäftsführung zum System. Die vollständige Übersicht mit allen Fundstellen findet ihr unter Welche Dokumentation ist nötig? und Dokumentierte Information.

Welche Anforderungen nicht zutreffen können

In der Praxis kommen fast nur Anforderungen aus Kapitel 7 und 8 in Frage, die an bestimmte Tätigkeiten geknüpft sind. Die vier häufigsten:

• 8.3 Entwicklung von Produkten und Dienstleistungen: trifft nicht zu, wenn ihr ausschließlich nach festen Vorgaben eurer Kunden arbeitet. Wer Sonderlösungen selbst entwirft, entwickelt.
• 7.1.5 Ressourcen zur Überwachung und Messung (Prüf- und Messmittel): trifft nicht zu, wenn ihr keine Mess- oder Prüfmittel braucht, um nachzuweisen, dass eure Leistung die Anforderungen erfüllt. Oft betrifft das nur die messtechnische Rückführbarkeit (7.1.5.2). Gemeint ist, dass Messgeräte regelmäßig mit einem genaueren, anerkannten Vergleichsmaßstab abgeglichen werden (Kalibrierung). Prüfwerkzeuge fallen dagegen weiterhin unter 7.1.5.1. Mehr unter Prüf- und Messmittel.
• 8.5.3 Eigentum der Kunden oder externer Anbieter: trifft nur selten nicht zu. Auch Daten, Zugänge und Unterlagen eurer Kunden zählen dazu.
• 8.5.5 Tätigkeiten nach der Lieferung: trifft fast immer zu, schon wegen Gewährleistung und Bearbeitung von Reklamationen.

Anforderungen aus Kontext, Führung, Planung, Bewertung der Leistung und Verbesserung kommen praktisch nie in Frage. Ein Satz wie „Interne Audits entfallen, weil wir zu klein sind“ ist keine zulässige Begründung. Die Flexibilität der Norm liegt nicht im Weglassen. Sie liegt darin, wie aufwendig ihr eine Anforderung umsetzt.

Beispiel: Ein IT-Dienstleister prüft die vier Kandidaten

Ein IT-Dienstleister mit 15 Mitarbeitenden betreut Netzwerke und Server kleiner Unternehmen. Gelegentlich entwickelt er kleine Skripte und Schnittstellen für Kunden. Die Geschäftsführung ging davon aus, dass „bei uns die Hälfte nicht zutrifft“. Die Prüfung ergibt:

Begründung im Anwendungsbereich:

Die Anforderung 7.1.5.2 (Messtechnische Rückführbarkeit) ist nicht zutreffend. Für unsere IT-Dienstleistungen setzen wir keine Messmittel ein, die kalibriert oder geeicht werden müssen. Die eingesetzte Überwachungssoftware prüfen wir nach 7.1.5.1 auf Eignung.

Statt der erwarteten Hälfte trifft nur ein Teil einer Anforderung nicht zu. Das ist ein typisches Ergebnis.

Worauf Auditoren achten

• Ist die Begründung sachlich? „Zu aufwendig“ oder „machen wir nicht gern“ reicht nicht.
• Passt sie zur Wirklichkeit? Der Auditor prüft vor Ort, ob ihr nicht doch entwickelt, messt oder mit Eigentum eurer Kunden umgeht.
• Sind die Pflichtnachweise vorhanden? Fehlende Aufzeichnungen zu Audits, Managementbewertung oder Korrekturmaßnahmen führen regelmäßig zu Abweichungen.

Typische Fehler

1. Gute Praxis für Pflicht halten: Wer Handbuch, QMB und Verfahrensanweisungen für vorgeschrieben hält, baut unnötig viel auf.
2. Pflichtnachweise vergessen: Umgekehrt fehlen oft genau die Aufzeichnungen, die die Norm ausdrücklich verlangt, etwa Nachweise der Kompetenz.
3. Aus Bequemlichkeit für nicht zutreffend erklären: Das fällt spätestens im Audit auf.
4. Alte Ausschlusslisten übernehmen: Begründungen aus früheren Fassungen der Norm passen oft nicht mehr zum heutigen Geschäft.
5. Nicht zutreffende Anforderungen nie wieder prüfen: Kommt eine neue Leistung hinzu, kann eine Anforderung plötzlich zutreffen.

Häufige Fragen

Müssen wir nicht zutreffende Anforderungen überhaupt angeben? Ja. Die Begründung gehört in den dokumentierten Anwendungsbereich. Sie muss nicht lang sein, aber nachvollziehbar.

Kann eine ganze Anforderung wie 7.1.5 nur teilweise nicht zutreffen? In der Praxis wird das häufig so gehandhabt, etwa bei 7.1.5.2. Begründet genau, welcher Teil nicht zutrifft und warum.

Sind die Anmerkungen in der Norm verpflichtend? Nein. Sie erklären die Anforderungen, sind aber selbst keine. Um die Norm richtig zu verstehen, sind sie trotzdem hilfreich.

So geht ihr das in Isolde an

Im Schritt „Nicht anwendbare Anforderungen“ beantwortet ihr je eine Ja/Nein-Frage zu vier Punkten: 8.3 Entwicklung, 7.1.5 Messtechnik, 8.5.3 Eigentum der Kunden oder externer Anbieter und 8.5.5 Tätigkeiten nach der Lieferung. Ihr gebt zum Beispiel an, ob ihr selbst entwickelt oder ob ihr Unterlagen, Daten oder Zugänge eurer Kunden nutzt. Eure Antworten fließen in den Text eures Geltungsbereichs ein. In der Zusammenfassung seht ihr vor der Freigabe, welche Anforderungen als nicht anwendbar erfasst sind.

Mit Isolde starten