Prozesse im Managementsystem nach ISO 9001, 14001 und 27001: Was Kapitel 4.4 fordert

„Zeigen Sie mir mal, wie ein Auftrag bei Ihnen durchläuft.“ Mit dieser Bitte beginnt im Audit oft die Prüfung von Kapitel 4.4. Wer dann einen Ordner mit Verfahrensanweisungen aufschlägt oder den Ablauf frei aus dem Gedächtnis erzählt, hat die Anforderung nur zum Teil gezeigt. Dieser Beitrag erklärt, was ISO 9001, ISO 14001 und ISO/IEC 27001 in Kapitel 4.4 verlangen, wie Sie Ihre Prozesse Schritt für Schritt bestimmen und beschreiben und worauf Auditoren achten.

Was ist ein Prozess, und was heißt Prozessansatz?

Ein Prozess ist eine Folge zusammenhängender Tätigkeiten, die aus Eingaben ein beabsichtigtes Ergebnis machen. Aus einer Kundenanfrage wird eine ausgelieferte Ware, aus einer Stellenausschreibung eine eingearbeitete Mitarbeiterin, aus einem Sicherheitsvorfall eine abgeschlossene Behandlung mit Lehren daraus. Das Ergebnis eines Prozesses ist oft die Eingabe des nächsten.

Der Prozessansatz bedeutet, ein Unternehmen nicht nach Abteilungen, sondern nach diesen Abläufen zu steuern: Wer ist verantwortlich, was geht hinein, was kommt heraus, woran erkennen Sie, dass der Prozess funktioniert, und was passiert an den Übergaben zwischen den Abteilungen? Gerade dort entstehen die meisten Fehler.

Üblich ist eine Einteilung in drei Prozessarten:

• Führungsprozesse steuern das Unternehmen: Strategie, Ziele, Managementbewertung, interne Audits.
• Kernprozesse schaffen direkt den Wert für den Kunden: vom Angebot über die Leistungserbringung bis zur Auslieferung.
• Unterstützungsprozesse machen die Kernprozesse möglich: Personal, Einkauf, IT, Instandhaltung.

Auf einer Prozesslandkarte stehen alle drei Arten auf einer Seite. Sie ist keine Normforderung, aber der schnellste Weg, im Audit den Überblick zu zeigen.

Eine verbreitete Form ist das Prozesshaus: Die Führungsprozesse bilden das Dach, die Kernprozesse laufen in der Mitte von den Anforderungen der Kunden und interessierten Parteien bis zu deren Zufriedenheit, und die Unterstützungsprozesse tragen alles als Fundament. Für einen mittelständischen Fertigungsbetrieb könnte das so aussehen:

Welcher Prozess in welche Schicht gehört, entscheidet jedes Unternehmen selbst. Bei einem Dienstleister steht statt der Fertigung die Leistungserbringung in der Mitte, und mancher Betrieb zählt die Beschaffung zu den Kernprozessen, weil ohne sie kein Auftrag fertig wird.

Was Kapitel 4.4 fordert

Kapitel 4.4 beginnt in allen drei Normen mit demselben Satz der gemeinsamen Grundstruktur: Die Organisation muss ihr Managementsystem aufbauen, verwirklichen, aufrechterhalten und fortlaufend verbessern, einschließlich der benötigten Prozesse und ihrer Wechselwirkungen. Am ausführlichsten wird die ISO 9001. Sie verlangt für jeden Prozess des Qualitätsmanagementsystems sinngemäß:

1. die erforderlichen Eingaben und erwarteten Ergebnisse bestimmen,
2. Abfolge und Wechselwirkung mit anderen Prozessen bestimmen,
3. Kriterien und Verfahren festlegen, einschließlich Überwachung, Messung und Leistungsindikatoren,
4. die benötigten Ressourcen bestimmen und verfügbar machen,
5. Verantwortlichkeiten und Befugnisse zuweisen,
6. die Risiken und Chancen aus 6.1 behandeln,
7. die Prozesse bewerten und nötige Änderungen umsetzen,
8. die Prozesse und das Managementsystem verbessern.

Dazu kommt die dokumentierte Information: so viel, wie nötig ist, um die Prozesse durchzuführen, und so viel Nachweis, dass Sie darauf vertrauen können, dass sie wie geplant laufen.

Die ISO 14001 und die ISO/IEC 27001 sagen in 4.4 also weniger, verlangen aber über Kapitel 8.1 ebenfalls Kriterien für ihre Prozesse und deren Steuerung. Wer mehrere Normen betreibt, braucht dafür keine getrennten Prozesslandschaften: Ein Prozess wie die Beschaffung trägt Qualitäts-, Umwelt- und Sicherheitsanforderungen zugleich. Wie die drei Normen ihre Struktur teilen, beschreibt das Whitepaper zum integrierten Managementsystem.

Was sich mit den Ausgaben 2026 ändert

Inhaltlich bleibt Kapitel 4.4 in der ISO 9001:2026 weitgehend gleich; das Bestimmen der Prozesse steht nun als erster Punkt der Liste. Mehr Gewicht bekommt der Umgang mit Änderungen in Abschnitt 6.3: Wie werden Änderungen mitgeteilt, wie wird ihre Wirksamkeit überwacht, und wie werden die Ergebnisse bewertet? Die ISO 14001:2026 hat dafür erstmals einen eigenen Abschnitt 6.3.

Für die Prozesse heißt das: Eine Änderung an einem Ablauf ist nicht erledigt, wenn jemand das Diagramm angepasst hat. Sie braucht eine nachvollziehbare Freigabe, die Betroffenen müssen davon erfahren, und später sollte jemand prüfen, ob die Änderung gewirkt hat.

Schritt für Schritt umsetzen

1. Prozesse sammeln

Fragen Sie nicht „Welche Abteilungen haben wir?“, sondern „Was durchläuft ein Auftrag, eine Reklamation, eine neue Mitarbeiterin?“ Ein Workshop mit den Verantwortlichen aus Vertrieb, Fertigung oder Leistungserbringung, Einkauf und Verwaltung findet die Abläufe schneller als ein Einzelner. Zehn bis zwanzig Prozesse sind für ein mittelständisches Unternehmen typisch; mehr werden schnell unübersichtlich.

2. Die Prozesslandkarte zeichnen

Ordnen Sie jeden Prozess einer Prozessart zu und zeichnen Sie die Kernprozesse in der Reihenfolge, in der ein Auftrag sie durchläuft. Pfeile oder eine Spalte „Vorgänger“ und „Nachfolger“ zeigen die Wechselwirkungen. Im Prozesshaus oben ist das der Weg von Vertrieb und Marketing bis zum Versand; der Rückweg der Reklamationen zeigt, dass Wechselwirkungen nicht nur in eine Richtung laufen.

3. Jeden Prozess beschreiben

Für jeden Prozess gehören auf eine Seite: Zweck, Prozesseigner, Auslöser und Eingaben, Ergebnisse, die Schritte mit Rollen, benötigte Ressourcen, Kennzahlen und die mitgeltenden Dokumente. Ein Ablaufdiagramm mit Bahnen je Rolle (zum Beispiel in BPMN) macht die Übergaben sichtbar, auf die es ankommt.

4. Kriterien und Kennzahlen festlegen

Woran erkennen Sie, dass der Prozess funktioniert? Termintreue, Durchlaufzeit, Fehlerquote, Reklamationen je tausend Lieferungen. Eine oder zwei Kennzahlen je Kernprozess genügen, wenn sie regelmäßig angesehen werden.

5. Risiken und Chancen zuordnen

Je Prozess fragen: Was kann schiefgehen, und wo liegt eine Gelegenheit? Ein Kapazitätsengpass gefährdet den Liefertermin, ein Rahmenvertrag mit Stammkunden macht die Planung sicherer. Bewerten Sie beides nach demselben Schema wie Ihre übrigen Risiken aus 6.1.

6. Freigeben, bekannt machen, regelmäßig prüfen

Erst die Freigabe durch den Prozesseigner macht eine Beschreibung verbindlich. Halten Sie fest, wer wann welche Fassung freigegeben hat, und legen Sie einen Termin für die nächste Prüfung fest, etwa jährlich und zusätzlich bei jeder größeren Änderung.

Worauf Auditoren in Kapitel 4.4 achten

Typische Fragen im Audit:

• Zeigen Sie mir mal, wie ein Auftrag bei Ihnen durchläuft.
• Wer ist für diesen Prozess verantwortlich, und woran merkt er, dass er funktioniert?
• Was passiert an der Übergabe vom Vertrieb an die Fertigung?
• Ist das hier die gültige Fassung, und wer hat sie freigegeben?
• Welche Risiken haben Sie für diesen Prozess bestimmt?

Häufige Schwächen:

• Landkarte ohne Leben. Die Prozesslandkarte hängt an der Wand, aber niemand kann sagen, wer welchen Prozess verantwortet.
• Beschreibung und Wirklichkeit weichen ab. Im Gespräch mit den Mitarbeitenden läuft der Prozess anders, als er dokumentiert ist.
• Keine Kennzahlen. Es gibt keinen Maßstab, ob der Prozess seine Ergebnisse erreicht.
• Übergaben fehlen. Jede Abteilung hat ihren Teil beschrieben, aber nicht, was sie an wen weitergibt.
• Unklarer Stand. Mehrere Fassungen sind im Umlauf, und keiner weiß, welche gilt.

So löst IMScollect das

In IMScollect hat Kapitel 4.4 eine eigene Seite, und die Forderungen der Norm haben dort ihren Platz:

• Wie läuft der Prozess ab? Jeder Prozess hat ein BPMN-Diagramm mit Bahnen je Rolle. Den ersten Entwurf erstellt auf Wunsch eine KI aus einer Beschreibung in eigenen Worten oder aus einem Word- oder PDF-Dokument; Sie prüfen und übernehmen ihn.
• Wer ist verantwortlich, was wird gebraucht? Zu jedem Prozess gehören Verantwortliche, Prozessexperten, Normbezug, Prozessart und die genutzten Ressourcen aus dem Inventar.
• Welche Risiken und Chancen hat er? Sie werden direkt am Prozess angelegt und bewertet und erscheinen mit der Freigabe im Risikomanagement.
• Welche Fassung gilt? Die Prozessverantwortliche gibt eine Fassung mit Begründung frei. Gültig und für alle sichtbar ist erst die freigegebene Fassung; vor jeder neuen Freigabe zeigt die App, was sich gegenüber der letzten geändert hat. Aus der Prüf-Frequenz ergibt sich der Termin der nächsten Prüfung, und ist er überschritten, entsteht eine Aufgabe.
• Wie hängt alles zusammen? Die Prozesslandkarte ordnet alle Prozesse nach Führungs-, Kern- und Unterstützungsprozessen.

Wie das im Audit aussieht, zeigt Folge 2 unserer Videoreihe „Der Auditor fragt“:

Ohne Software: die Vorlage zum Herunterladen

Wer seine Prozesse zunächst in Excel ordnen möchte, findet hier die Vorlage für die Prozessübersicht. Sie hat drei Blätter: eine Anleitung mit den Schritten oben, eine leere Prozessübersicht mit Auswahllisten für Prozessart und Bewertung sowie sechs ausgefüllte Beispiele von der Auftragsabwicklung bis zur Managementbewertung. Je Prozess stehen dort Eingaben, Ergebnisse, Vorgänger und Nachfolger, Ressourcen, Kennzahlen sowie Risiken und Chancen; die Priorität für Ihr Auditprogramm rechnet die Vorlage selbst aus.