Kombinations-Audits für Security & Quality

Für welche Unternehmen sind Kombi-Audits sinnvoll? Nur für jene mit einem integrierten Gesamtsystem – oder auch für jene, die Qualitätsmanagement und Informationssicherheit separat betreiben?

Peter Soudat: Beides ist möglich. Zertifizierungs- und Überwachungsaudits können in beiden Fällen kombiniert durchgeführt werden. Denn schon bei der Auditplanung berücksichtigen wir überschneidende Inhalte und legen gemeinsam mit dem Unternehmen fest, welche Nachweise und Interviewpartner für das Audit aus beiden Systemen benötigt werden. Bei einem integrierten Managementsystem wird die Auditzeit aber kürzer ausfallen. Bei Einzelsystemen für Qualitätsmanagement und Informationssicherheit können Kombi-Audits auch eine gute Unterstützung in Richtung einer angestrebten Integration sein. In dem Fall ist die Vorbereitungsphase mit dem Kunden intensiver und die Auditoren gehen schon vorab detailliert auf die vorhandenen Prozesse aus beiden Systemen ein.

Wie viel Aufwand erspart man sich bei einem Kombi-Audit?

Herbert Filacchione: Das hängt vom Systemumfang ab. Am deutlichsten erlebt das oberste Management die Synergien, die bei einem Kombi-Audit de facto nur einen Interviewtermin haben, in dem alle Aspekte gemeinsam abgefragt werden. Insgesamt fallen kombinierte Audits um 20 bis 30 Prozent kürzer aus als vergleichbare Einzelaudits. Statt etwa 12 Audittage für zwei Systeme in einem größeren Unternehmen würden bei einem Kombi-Audit nur neun Tage benötigt werden. Eine ähnliche Zeitersparnis ergibt sich für den Kunden bei der Vorbereitung, da alle Dokumente und Interviewpartner für beide Systeme in einem Aufwaschen bereit gestellt werden. Ein inhaltlicher Benefit ist auch: Die Auditziele und Prüf-Schwerpunkte werden vorab mit dem Unternehmen anhand des Geschäftsmodells und den betrieblichen Risiken individuell vereinbart. So können die Audit-Ergebnisse zielgenau in die Verbesserung betrieblicher Abläufe einfließen. Ebenso werden die Interview-Partner für das Kombi-Audit abteilungsübergreifend gewählt, so dass wichtige Wechselwirkungen in den Organisationen zum Vorschein kommen.

Welche konkreten Inhalte der recht unterschiedlichen Normen ISO 9001 und ISO 27001 sind kombiniert auditierbar?

Peter Soudat: Die Anforderungen an die Managementsysteme überschneiden sich zu 100 Prozent, während sich bei den operativen Anforderungen je nach Branche und Geschäftstätigkeit Unterschiede ergeben. Betrachten wir dazu die Hauptkapitel der ISO 9001, beginnend mit Kapitel 4, „QM-System“: Hier schauen wir bei einem Kombi-Audit, welche QM- und IS-Prozesse im Unternehmen definiert wurden und ob die Wechselwirkungen klar sind. Auch Dokumentation und Handbücher lassen sich für beide Aspekte prüfen. Detto Kapitel 5, „Verantwortung der Leitung“: Hier können wir Qualitätspolitik und -ziele parallel mit der Information Security Policy und den IS-Zielen abfragen. Auch Kapital 6, „Management der Ressourcen“, verhält sich so: Die Punkte „Personal, Infrastruktur, Arbeitsumgebung“ lassen sich eins zu eins für QM- und IS-Aspekte überprüfen. Etwa im Bereich Human Resources könnte ein Lagerarbeiter gemäß ISO 9001 daraufhin auditiert werden, inwieweit er die Lagerhaltungssoftware fehlerfrei bedienen kann. Gemäß ISO 27001 würden wir parallel sein Sicherheitsbewusstsein bei der Datenverwaltung abfragen. Oder im Bereich Arbeitsumgebung begutachtet ein Auditor die in ISO 9001 geforderte Eignung der Geräte für die Mitarbeiter und prüft gleichzeitig Security-Maßnahmen nach ISO 27001 wie Berechtigungen und Clean-Desk-Policy.

Haben Sie Beispiele für Synergien bei den operativen Anforderungen?

Peter Soudat: Auch die operativen Hauptkapitel 7 und 8 – „Produktrealisierung“ sowie „Messung, Analyse und Verbesserung“ – bieten je nach Branche überschneidende Inhalte für Kombi-Audits. Bei einem Softwareentwickler würde der Prozess der Softwareentwicklung gemäß ISO 9001 auf Kontrollschleifen, Prozessbeschreibungen und Erfolgskriterien geprüft werden. Gleichzeitig würden wir auf IS-Aspekte nach ISO 27001 wie Secure Coding schauen. Oder nimmt man die QM-Forderung zur „Lenkung fehlerhafter Produkte“, so entspricht diese dem Incident oder Problem Management aus der Informationssicherheit. Dazu würden wir fragen, ob das Unternehmen Fehlermeldungen oder Kunden-Feedback zu entwickelten Produkten für beide Aspekte, QM und IS, auswertet und daraus Maßnahmen ableitet.