Integrierte Managementsysteme im Audit: Wo die Reibungspunkte liegen und wie man sie umgeht
Integrierte Managementsysteme (IMS) vereinen Normen wie ISO 9001, ISO 27001 und ISO 22301, um Synergien zu schaffen und Prozesse zu optimieren. Doch in der Praxis scheitern Unternehmen oft an Dokumentationslücken, inkonsistenten Risikomanagement-Perspektiven und isolierten Audits, die Schnittstellen ignorieren. Weitere Herausforderungen sind unabgestimmte Schulungen, die Mitarbeiter in Konflikten zwischen Normen zurücklassen, sowie fehlende ganzheitliche Managementbewertungen, die zu widersprüchlichen Prioritäten führen. Dieser Blogbeitrag zeigt Ihnen wo der Schlüssel zum Erfolg liegt – kurz: in vernetztem Denken statt in Silos.
IMS und Audit: Wo die Reibungspunkte liegen und wie man sie umgeht
Es klingt nach der perfekten Lösung: Ein integriertes Managementsystem (IMS), das Qualitätsmanagement (ISO 9001), Informationssicherheit (ISO 27001) und Business Continuity Management (ISO 22301) unter einem Dach vereint. Weniger Aufwand, mehr Synergien, klare Prozesse – theoretisch. Doch in der Praxis zeigt sich Jahr für Jahr: Gerade bei Audits scheitern Unternehmen oft an denselben Stellen. Ein häufiger Grund ist, dass die Schnittstellen zwischen den Systemen unterschätzt wird. Die häufigsten Auditabweichungen in integrierten Managementsystemen folgen Mustern und genau diese Muster lassen sich vermeiden, wenn man weiß, worauf Auditoren besonders achten.
Dieser Artikel zeigt, wo die größten Stolpersteine liegen, warum sie entstehen und wie Sie Ihr integriertes Managementsystem so aufstellen, dass es nicht nur auf dem Papier funktioniert, sondern auch im Audit überzeugt.
1. Stoplerstein – Die Dokumentation: Ein Haus mit mehreren Grundrissen
„Die Dokumentation ist unvollständig“ – dieser Satz steht in fast jedem Auditbericht. Doch das eigentliche Problem ist nicht, dass etwas fehlt, sondern dass das Vorhandene nicht zusammenpasst. Da steht im Qualitätshandbuch, dass der Einkaufsprozess so und so abläuft, während das Informationssicherheitshandbuch für denselben Prozess andere Verantwortlichkeiten nennt. Oder die Risikobewertung wird im QM-System anders definiert als im ISMS.
Die Folge: Mitarbeiter wissen nicht, welche Version nun gilt, und Auditoren stoßen auf Widersprüche, die sich wie ein roter Faden durch das System ziehen.
Der Grund dafür ist meist historisch gewachsen. Viele Unternehmen bauen ihr integriertes Managementsystem, indem sie bestehende Einzel-Systeme einfach nebeneinanderstellen – statt sie von Grund auf gemeinsam zu denken. Das Ergebnis sind Dopplungen, Inkonsistenzen und vor allem: Frustration. Denn wer soll sich schon in einem Dschungel aus widersprüchlichen Anweisungen zurechtfinden?
Die Lösung liegt in einem zentralen Prozessrepository, das alle Systeme abbildet und klar verlinkt. Noch wichtiger ist jedoch eine einheitliche Terminologie. Wenn „Risiko“ in jedem System anders definiert wird, ist das so, als würde man in einem Haus mit mehreren Grundrissen leben – irgendwann stolpert man über die eigenen Schwellen.
konzentrieren, die wirklich einen Unterschied machen – etwa wie man Nachhaltigkeitsziele mit Effizienzsteigerungen verknüpft, wie man die Unternehmenswerte in konkrete Handlungsanweisungen übersetzt oder wie man die Resilienz der Lieferkette in unsicheren Zeiten stärkt.
Doch die vielleicht größte Chance liegt in der Vernetzung der Daten. Bisher waren die Informationen aus Qualitätssicherung, Umweltmanagement und Arbeitssicherheit oft isoliert voneinander. Mit einem integrierten Ansatz können diese Daten nun zusammengeführt und analysiert werden – und plötzlich werden Zusammenhänge sichtbar, die vorher im Verborgenen blieben. Ein Beispiel: Ein Anstieg der Ausschussquote in der Produktion könnte mit einer gleichzeitigen Zunahme von Arbeitsunfällen in einer bestimmten Abteilung korrelieren. Eine KI könnte diesen Zusammenhang erkennen und darauf hinweisen, dass hier möglicherweise ein tieferliegendes Problem vorliegt – etwa eine unergonomische Arbeitsplatzgestaltung, die sowohl die Qualität als auch die Sicherheit beeinträchtigt.
2. Stolperstein – Risikomanagement: Jede Norm spricht ihre eigene Sprache
Risikomanagement ist in fast allen Managementsystem-Normen verankert – doch jede Norm blickt durch eine andere Linse. Die ISO 9001 fragt nach Gefahren für die Produktqualität, die ISO 27001 nach Bedrohungen für die Informationssicherheit, und die ISO 22301 nach Störungen der Geschäftsprozesse. Das Problem: In der Praxis werden diese Perspektiven oft isoliert betrachtet, als hätten sie nichts miteinander zu tun.
So passiert es, dass ein Lieferantenrisiko nur im QM-System bewertet wird, obwohl es auch Auswirkungen auf die Informationssicherheit haben könnte. Oder dass ein Notfallplan für IT-Ausfälle im ISMS gepflegt wird, während im QM-System ein „ähnlicher“ Plan existiert – mit anderen Verantwortlichkeiten und anderen Auslösekriterien.
Die Folge sind nicht nur Ineffizienzen und auch echte Sicherheitslücken.
Dabei wäre gerade hier das größte Potenzial eines integrierten Managementsystems zu heben. Ein gemeinsames Risikoverständnis, das alle Perspektiven abdeckt, schafft Synergien und vermeidet Dopplungen. Statt drei verschiedene Risikomatrizen zu pflegen, könnte eine einzige ausreichen – wenn sie nur die richtigen Fragen stellt. Und statt Maßnahmen in jedem System einzeln umzusetzen, könnten sie gebündelt werden, solange sie dieselbe Ursache adressieren.
3. Stolperstein – Interne Audits: Der blinde Fleck der Spezialisten
Interne Audits sind Pflicht – doch in der Praxis werden sie oft nach Silos durchgeführt. Der QM-Auditor prüft nur die ISO 9001, der ISMS-Auditor nur die ISO 27001, und der BCM-Auditor nur die ISO 22301. Das Problem: Die Schnittstellen zwischen den Systemen bleiben dabei unberücksichtigt.
So passiert es, dass ein Prozess mehrmals auditiert wird, weil er in mehreren Normen relevant ist – aber niemand prüft, ob die Anforderungen der einzelnen Normen miteinander harmonieren. Oder dass Widersprüche unentdeckt bleiben, weil jeder Auditor nur sein eigenes System im Blick hat.
Die Folge sind ineffiziente Audits und daraus resultierende Compliance-Risiken.
Die Lösung liegt in einer prozessorientierten Herangehensweise. Statt „ISO 9001-Audit“ zu planen, könnte man stattdessen „Audit des Entwicklungsprozesses“ durchführen – mit allen relevanten Anforderungen aus QM, ISMS und BCM. Das erfordert zwar Auditoren, die nicht nur ihre eigene Norm, sondern auch die Schnittstellen dazu verstehen. Doch der Aufwand lohnt sich: Am Ende hat man nicht nur weniger Audits, sondern auch bessere Ergebnisse.
4. Stolperstein – Schulungen: Wenn die linke Hand nicht weiß, was die rechte tut
Schulungen finden statt – aber oft getrennt nach Normen. Die QM-Schulung erklärt, wie Dokumente zu lenken sind, die ISMS-Schulung, wie mit vertraulichen Informationen umzugehen ist, und die BCM-Schulung, wie im Notfall zu reagieren ist. Das Problem: Die Mitarbeiter wissen am Ende nicht, welche Regelung Vorrang hat, wenn die Anforderungen der Systeme kollidieren.
So stellt sich etwa die Frage: Darf ein Mitarbeiter ein vertrauliches Dokument drucken, wenn es für die Qualitätssicherung benötigt wird? Oder muss er es digital bearbeiten, auch wenn das den Prozess verlangsamt? Wenn die Schulungen nicht abgestimmt sind, bleibt diese Frage offen – und im Audit wird sie zum Problem.
Die Lösung liegt in integrierten Schulungskonzepten, die nicht die Normen, sondern die Prozesse in den Mittelpunkt stellen. Statt „ISO 9001-Schulung“ könnte man etwa eine „Schulung zum Entwicklungsprozess“ anbieten – mit allen relevanten Anforderungen aus QM, ISMS und BCM. Praktische Fallbeispiele, die Schnittstellen aufzeigen, helfen den Mitarbeitern, die Zusammenhänge zu verstehen. Und eine zentrale Wissensdatenbank, die die Systeme vernetzt, gibt ihnen die Sicherheit, im Zweifel nachschlagen zu können.
5. Stolperstein – Managementbewertung: Wenn die Führung das IMS nicht lebt
Die Managementbewertung ist in allen Normen gefordert – doch in der Praxis wird sie oft pro forma durchgeführt. Jedes System wird einzeln bewertet, und am Ende stehen isolierte Maßnahmen, die sich teilweise sogar widersprechen. Die Umweltpolitik fordert etwa, Papier zu reduzieren, während das QM-System ausgedruckte Prüfprotokolle verlangt. Oder die Geschäftsführung priorisiert ein QM-Projekt, obwohl ein ISMS-Risiko dringender wäre.
Das Problem ist nicht, dass die Managementbewertung fehlt, sondern dass sie nicht ganzheitlich gedacht wird. Die Systemverantwortlichen bereiten ihre eigenen Bewertungen vor, und die Geschäftsführung fehlt der strategische Blick auf das große Ganze.
Die Lösung liegt in einer gemeinsamen Managementbewertung, die alle Systeme betrachtet und Prioritäten systemübergreifend setzt. Wenn die Geschäftsführung etwa beschließt, dass der Fokus im nächsten Jahr auf der Digitalisierung der Prozesse liegt, hat das Auswirkungen auf QM, ISMS und BCM und sollte auch so kommuniziert werden. Regelmäßige IMS-Steuerungskreise, in denen die Führungsebene aktiv eingebunden ist, helfen dabei, das System am Laufen zu halten.
6. Stolperstein – Kontinuierliche Verbesserung: Wenn das IMS zum Selbstzweck wird
Kontinuierliche Verbesserung ist ein zentrales Element aller Managementsysteme. Doch in der Praxis wird sie oft nur innerhalb der einzelnen Systeme betrieben. Jede Abteilung optimiert ihre eigenen Prozesse, ohne zu prüfen, ob die Verbesserungen sich gegenseitig behindern.
So passiert es, dass ein Prozess digitalisiert wird, um die Informationssicherheit zu erhöhen – aber dadurch die QM-Dokumentation unübersichtlicher wird. Oder dass ein Umweltprojekt die Energieeffizienz steigert, aber gleichzeitig die Produktqualität beeinträchtigt. Die Folge sind nicht nur ineffiziente Verbesserungen, sondern auch echte Compliance-Risiken.
Die Lösung liegt in einem gemeinsamen Verbesserungssystem, das alle Systeme abdeckt. Ein IMS-Ideenmanagement, das Anregungen aus allen Bereichen bündelt, hilft dabei, Synergien zu nutzen und Konflikte frühzeitig zu erkennen. Regelmäßige Prüfungen der Schnittstellen-Prozesse stellen sicher, dass Veränderungen in einem System nicht unbeabsichtigte Nebenwirkungen in einem anderen haben. Und wenn Mitarbeiter ermutigt werden, Verbesserungen systemübergreifend zu denken – etwa durch Belohnungssysteme für die „beste IMS-Idee“ –, entsteht eine Kultur, die das System wirklich voranbringt.
Fazit: Integriertes Denken statt integrierte Systeme
Die häufigsten Auditabweichungen in integrierten Managementsystemen entstehen dort, wo die Silos nicht überwunden wurden. Ein echtes IMS ist mehr als die Summe seiner Teile – es ist ein vernetztes System, das Synergien schafft, Redundanzen vermeidet und die Komplexität reduziert, statt sie zu erhöhen.
Drei Hebel sind dabei besonders wichtig: Erstens die Dokumentation, die nicht nur vollständig, sondern auch konsistent sein muss. Zweitens das Risikomanagement, das eine gemeinsame Sprache sprechen sollte. Und drittens die kontinuierliche Verbesserung, die das System am Laufen hält. Doch der größte Hebel ist vielleicht das Denken selbst. Wer nicht in Normen, sondern in Prozessen denkt, wer nicht in Silos, sondern in Schnittstellen, der wird am Ende nicht nur bessere Audit-Ergebnisse haben, sondern auch ein System, das wirklich funktioniert.
Denn ein integriertes Managementsystem ist nie fertig. Es ist ein lebendiger Organismus, der sich ständig weiterentwickelt – und genau das ist seine Stärke.
Glöckner & Schuhwerk – Ihr Partner für integrierte Managementsysteme aus Karlsruhe
Unser Team von Glöckner & Schuhwerk mit Sitz in der schönen Fächerstadt Karlsruhe ist Ihr erfahrenes Beratungsunternehmen für integrierte Managementsysteme. Seit über 10 Jahren begleiten wir Unternehmen dabei, ihre Prozesse effizienter, sicherer und nachhaltiger zu gestalten – maßgeschneidert auf ihre individuellen Anforderungen.
Sie benötigen Unterstützung bei der Einführung und Optimierung Ihres integrierten Managementsystems? Dann melden Sie sich bei uns! Gemeinsam finden wir die beste Lösung für Ihr Vorhaben – unverbindlich, kompetent und zielorientiert.
