Integriertes Managementsystem: was ISO 9001, 14001 und 27001 wirklich teilen

Vor der zweiten ISO-Norm stehen viele Unternehmen zwischen zwei schlechten Extremen: Entweder soll die neue Norm „nebenbei“ mitlaufen, oder es entsteht ein vollständig separates System. Ein integriertes Managementsystem wählt den belastbaren Mittelweg: gemeinsame Führungs- und Unterstützungsprozesse, aber klar getrennte fachliche Anforderungen.

Das Whitepaper zeigt Kapitel für Kapitel, welche Teile von ISO 9001:2015, ISO 14001:2015 und ISO 27001:2022 gemeinsam geführt werden können, wo die Grenze verläuft und wie die zweite oder dritte Norm über zwölf Monate vorbereitet werden kann.

Die kurze Antwort

Die drei Normen folgen einer harmonisierten Grundstruktur. Deshalb können viele organisatorische Fragen in einem gemeinsamen Prozess beantwortet werden:

• Kontext der Organisation und interessierte Parteien
• Politik, Rollen und Verantwortlichkeiten
• Ziele und Maßnahmenverfolgung
• Kompetenz, Kommunikation und dokumentierte Information
• interne Audits und Managementbewertung
• Abweichungen, Korrekturmaßnahmen und Verbesserung

Gemeinsam geführt bedeutet nicht inhaltlich identisch. ISO 9001:2015 betrachtet Qualität und Prozessleistung, ISO 14001:2015 Umweltaspekte und bindende Verpflichtungen, ISO 27001:2022 Informationssicherheitsrisiken und die daraus abgeleiteten Maßnahmen.

Die brauchbare Lösung lautet daher: ein gemeinsamer organisatorischer Unterbau, mehrere fachliche Kerne.

Wo die Integration trägt

Besonders gut lassen sich die Kapitel 4 bis 7 sowie 9 und 10 in gemeinsamen Abläufen organisieren. Ein Unternehmen braucht beispielsweise nicht drei voneinander unabhängige Dokumentenlenkungen, Kompetenzmatrizen oder Managementbewertungen.

Eine integrierte Struktur kann stattdessen:

1. einen Vorgang nur einmal erfassen,
2. ihn den betroffenen Normbereichen zuordnen,
3. fachliche Verantwortlichkeiten getrennt halten,
4. Maßnahmen und Nachweise gemeinsam verfolgen,
5. den Normbezug im Audit eindeutig sichtbar machen.

Das gilt auch für den Klima-Zusatz von 2024 in den Kapiteln 4.1 und 4.2. Die Relevanz wird in einem gemeinsamen Kontextprozess geprüft, die Auswirkungen können je Normbereich unterschiedlich sein.

Wo die Trennung bleiben muss

In Kapitel 8 liegt der operative Kern der jeweiligen Norm. Hier unterscheiden sich die Aufgaben deutlich:

• Bei ISO 9001:2015 geht es unter anderem um die Planung und Erbringung von Produkten und Dienstleistungen.
• Bei ISO 14001:2015 stehen betriebliche Umweltsteuerung, Lebenswegperspektive und Notfallvorsorge im Vordergrund.
• Bei ISO 27001:2022 geht es um Informationssicherheits-Risikobeurteilung, Risikobehandlung und die festgelegten Sicherheitsmaßnahmen.

Die Verfahren dürfen miteinander verbunden sein. Ihre Kriterien, Fachverantwortung und Nachweise müssen jedoch unterscheidbar bleiben. Eine gemeinsame Oberfläche allein ist noch keine Integration.

Die Prüffrage gegen Schein-Integration

Eine Frage macht die Qualität der Struktur sichtbar:

Würde der gemeinsame Prozess weiterhin funktionieren, wenn morgen ein weiterer Normbereich hinzukommt, ohne dass dafür ein paralleler Prozess kopiert werden muss?

Wenn die Antwort ja lautet und die fachlichen Anforderungen trotzdem eindeutig nachweisbar bleiben, trägt die Integration. Entsteht für jede neue Norm eine weitere Liste, ein weiteres Auditprogramm und eine zusätzliche Managementbewertung, liegen mehrere Systeme lediglich nebeneinander.

Was das Whitepaper vollständig behandelt

Die öffentliche Seite liefert die Grundentscheidung. Das Whitepaper ergänzt die vollständige Arbeits- und Entscheidungsgrundlage:

• Teilbarkeitsmatrix für die Normkapitel 4 bis 10
• Einordnung von externem und internem Aufwand
• Entscheidungshilfe für die Reihenfolge der Normen
• Fahrplan über zwölf Monate mit vier Phasen
• typische Ursachen für Schein-Integration
• zehn Fragen vor der Beauftragung
• Selbsttest zur Integrationsfähigkeit des bestehenden Systems

Für die praktische Umsetzung helfen die Wissensseiten zu ISO 9001:2015, ISO 14001:2015 und ISO 27001:2022 bei der fachlichen Abgrenzung.

Welche Norm sollte zuerst kommen?

Eine allgemeingültige Reihenfolge gibt es nicht. ISO 9001:2015 ist häufig ein sinnvoller Einstieg, wenn noch kein formales Managementsystem besteht und zunächst Prozesse, Verantwortlichkeiten und Verbesserungsabläufe stabilisiert werden sollen.

Der konkrete Anlass kann diese Reihenfolge jedoch überstimmen. Vertragliche Sicherheitsanforderungen können ISO 27001:2022 priorisieren. Umweltauflagen, Genehmigungen oder wesentliche Umweltaspekte können ISO 14001:2015 zuerst erforderlich machen.

Zwei Normen gleichzeitig einzuführen ist nur dann sinnvoll, wenn belastbare Prozesse, klare Verantwortlichkeiten und ausreichend interne Kapazität bereits vorhanden sind. Andernfalls steigt die Gleichzeitigkeit schneller als der Integrationsgewinn.

Fazit

Ein integriertes Managementsystem spart nicht dadurch Arbeit, dass Unterschiede verschwinden. Es spart Arbeit, weil gemeinsame organisatorische Fragen nur einmal beantwortet werden und die fachlichen Unterschiede trotzdem sauber nachweisbar bleiben.

Vor der zweiten oder dritten Norm sollte deshalb keine neue Dokumentenwelt aufgebaut werden. Der bessere Startpunkt ist eine Delta-Betrachtung: Was trägt bereits, was muss ergänzt werden und wo braucht es bewusst einen eigenen fachlichen Ablauf? IMScollect ist darauf ausgelegt, gemeinsame Anforderungen, Maßnahmen, Nachweise und Audits einmal zu führen und ihren Normbezug dennoch sichtbar zu halten.