Welche Dokumente verlangt die ISO 9001 wirklich?

„Wie viele Ordner brauchen wir denn dafür?"

Das ist die Frage, die in unseren Erstgesprächen fast immer kommt – meist mit einem Blick zur Wand, an der schon genug Ordner stehen. Dahinter steckt ein Bild von ISO 9001, das sich seit zwanzig Jahren hartnäckig hält: ein Qualitätsmanagementhandbuch, ein Satz Verfahrensanweisungen, für jeden Handgriff ein Formular.

Die Antwort überrascht die meisten: Die ISO 9001:2015 nennt drei Dokumente, die Sie führen und pflegen müssen. Dazu kommen rund zwanzig Stellen, an denen Sie einen Nachweis aufbewahren müssen – und davon trifft ein Teil auf Ihr Unternehmen gar nicht zu.

Ein Qualitätsmanagementhandbuch ist nicht darunter. Verfahrensanweisungen auch nicht.

Damit Sie das nicht glauben müssen, gehen wir die Norm in diesem Artikel durch – Abschnitt für Abschnitt, mit Fundstelle. Am Ende wissen Sie genau, was gefordert ist, was Sie sich freiwillig aufhalsen und woran Sie sich in einem Audit tatsächlich messen lassen müssen.

Der Begriff, an dem alles hängt: „dokumentierte Information"

Die Ausgabe 2015 hat zwei Begriffe abgeschafft, die viele noch im Kopf haben: „Dokumente" und „Aufzeichnungen". Beides heißt jetzt dokumentierte Information. Das klingt nach Wortklauberei, ist aber der Schlüssel zum ganzen Thema – denn die Norm unterscheidet die beiden Fälle über das Verb:

• „aufrechterhalten" – ein lebendes Dokument, das Sie pflegen und aktuell halten. Das ist das, was Sie früher „Dokument" genannt haben.
• „aufbewahren" – ein Nachweis darüber, dass etwas stattgefunden hat. Das ist die frühere „Aufzeichnung".

Wo also „muss aufrechterhalten werden" steht, brauchen Sie ein gepflegtes Dokument. Wo „muss aufbewahrt werden" steht, brauchen Sie einen Beleg – und der darf ein Protokoll, ein Ticket, eine E-Mail oder eine Zeile in Ihrer ERP-Software sein.

Diese Unterscheidung erspart Ihnen im Zweifel Dutzende Seiten. Für einen Nachweis muss niemand eine Verfahrensanweisung schreiben.

Teil 1: Die Dokumente, die Sie pflegen müssen

Namentlich benennt die Norm genau drei. Alle drei passen zusammen auf wenige Seiten.

1. Den Anwendungsbereich (Abschnitt 4.3)

Der Anwendungsbereich Ihres Qualitätsmanagementsystems muss als dokumentierte Information verfügbar sein und aufrechterhalten werden. Er muss angeben, welche Produkte und Dienstleistungen erfasst sind – und für jede Anforderung der Norm, die Sie als nicht zutreffend einstufen, eine Begründung liefern.

Das ist in aller Regel ein halber bis ein Absatz. Und es ist genau der Text, der später auf Ihrem Zertifikat landet – also der Satz, den Ihre Kunden am Ende lesen. Er verdient mehr Sorgfalt als jedes Handbuchkapitel.

2. Die Qualitätspolitik (Abschnitt 5.2.2)

Die Qualitätspolitik muss als dokumentierte Information verfügbar sein und aufrechterhalten werden. Weiter verlangt die Norm, dass sie innerhalb der Organisation bekannt gemacht und verstanden wird und relevanten interessierten Parteien zugänglich ist.

Eine Seite genügt. Der Umfang ist auch nicht das Problem – das Problem ist, dass die meisten Qualitätspolitiken aus austauschbaren Sätzen bestehen, die kein Mitarbeiter wiedergeben könnte. Genau danach fragt ein Auditor aber: nicht nach dem Papier, sondern nach dem Verständnis.

3. Die Qualitätsziele (Abschnitt 6.2.1)

Zu den Qualitätszielen muss die Organisation dokumentierte Informationen aufrechterhalten. Die Norm ist hier ungewöhnlich konkret: Die Ziele müssen unter anderem messbar sein, relevante Anforderungen berücksichtigen, überwacht, vermittelt und bei Bedarf aktualisiert werden.

In der Praxis ist das eine Tabelle: Ziel, Kennzahl, Verantwortlicher, Termin, Stand. Drei bis fünf Ziele, die Sie ohnehin verfolgen, reichen völlig – solange sie echt sind und jemand sie wirklich nachhält.

Dazu zwei offene Kategorien

Neben den drei benannten Dokumenten gibt es zwei Stellen, an denen die Norm den Umfang bewusst Ihnen überlässt:

• Abschnitt 4.4.2 a) verlangt „in erforderlichem Umfang" dokumentierte Informationen, die die Durchführung Ihrer Prozesse unterstützen. Abschnitt 8.1 e) formuliert dasselbe für die betriebliche Planung.
• Abschnitt 8.5.1 a) verlangt – falls zutreffend – die Verfügbarkeit dokumentierter Informationen, in denen die Merkmale der Produkte oder Dienstleistungen und die zu erzielenden Ergebnisse festgelegt sind.

„In erforderlichem Umfang" und „falls zutreffend" sind keine Schlupflöcher, sondern eine bewusste Entscheidung der Normgeber: Ein Fertigungsbetrieb mit engen Toleranzen braucht Arbeitsanweisungen, ein dreiköpfiges Ingenieurbüro nicht. Sie bestimmen den Umfang – und Sie müssen ihn im Audit begründen können.

Teil 2: Die Nachweise, die Sie aufbewahren müssen

Hier wird die Liste länger, der Aufwand aber kleiner. Denn diese Nachweise entstehen fast alle sowieso – beim Arbeiten, nicht beim Dokumentieren.

Abschnitt	Wovon Sie einen Nachweis aufbewahren müssen
4.4.2 b)	dass Ihre Prozesse wie geplant durchgeführt werden
7.1.5.1	Eignung der Ressourcen zur Überwachung und Messung
7.1.5.2	Grundlage für Kalibrierung/Verifizierung, wenn keine Normale existieren (nur bei geforderter messtechnischer Rückführbarkeit)
7.2 d)	Kompetenz Ihrer Mitarbeiter
8.2.3.2	Ergebnisse der Überprüfung von Kundenanforderungen und neue Anforderungen
8.3.3 bis 8.3.6	Entwicklung: Eingaben, Steuerungstätigkeiten, Ergebnisse und Änderungen (nur wenn Sie entwickeln)
8.4.1	Bewertung, Auswahl, Überwachung externer Anbieter und daraus abgeleitete Maßnahmen
8.5.2	Rückverfolgbarkeit – sofern gefordert
8.5.3	Verlust oder Beschädigung von Eigentum des Kunden oder externer Anbieter
8.5.6	Überprüfung von Änderungen: wer sie autorisiert hat, welche Maßnahmen folgten
8.6	Freigabe: Nachweis der Konformität mit den Annahmekriterien und Rückverfolgbarkeit zur freigebenden Person
8.7.2	Nichtkonforme Ergebnisse: Beschreibung, Maßnahmen, Sonderfreigaben, zuständige Entscheidungsstelle
9.1.1	Ergebnisse von Überwachung, Messung, Analyse und Bewertung
9.2.2 f)	Umsetzung des Auditprogramms und Auditergebnisse
9.3.3	Ergebnisse der Managementbewertung
10.2.2	Art der Nichtkonformitäten, getroffene Maßnahmen, Ergebnisse der Korrekturmaßnahmen

Rechnen Sie ehrlich mit: Wenn Sie nicht entwickeln, fallen vier Zeilen weg. Wenn Sie nichts messen, wofür Rückführbarkeit gefordert ist, fällt eine weitere weg. Rückverfolgbarkeit gilt nur, wenn sie gefordert ist. Für einen typischen Dienstleister bleiben rund zehn Punkte übrig – und der überwiegende Teil davon liegt bereits in Ihrem CRM, Ihrer Projektablage oder Ihrem Ticketsystem.

Teil 3: Was die Norm ausdrücklich nicht verlangt

Das ist der Teil, der in der Praxis das meiste Geld spart.

Kein Qualitätsmanagementhandbuch. Die Vorgängerausgabe von 2008 arbeitete noch mit Begriffen wie „Qualitätsmanagementhandbuch" und „dokumentierte Verfahren". Die Ausgabe 2015 hat diese Vorgaben durch Anforderungen an das Aufrechterhalten dokumentierter Information ersetzt. Ein Handbuch dürfen Sie führen – gefordert ist es nicht.

Keinen Pflichtsatz an Verfahrensanweisungen. Es gibt keine Liste von Verfahren, die dokumentiert sein müssen. Sie entscheiden, wo eine schriftliche Festlegung Ihre Prozesse trägt.

Keine Papierform. Abschnitt 7.5.2 nennt Papier und elektronisch ausdrücklich als gleichwertige Medien. Ein Wiki, ein SharePoint, ein Prozesstool – alles zulässig.

Nicht die Struktur und die Begriffe der Norm. Der Anhang der Norm stellt klar, dass es keine Anforderung gibt, Aufbau und Terminologie der Norm in der eigenen Dokumentation zu übernehmen. Ihre Dokumentation darf sich an Ihren Prozessen orientieren statt an Normkapiteln – und sollte es auch. Ein Dokument, das nach Ihrem Auftragsdurchlauf gegliedert ist, wird gelesen. Ein Dokument, das der Normstruktur folgt, wird abgeheftet.

Keinen Qualitätsmanagementbeauftragten als vorgeschriebene Rolle. Der Anhang weist ausdrücklich darauf hin, dass es keine Anforderung an einen einzelnen Beauftragten der obersten Leitung mehr gibt. Die Verantwortlichkeiten müssen zugewiesen sein – auf wie viele Schultern, entscheiden Sie.

Die Falle, die sich fast alle selbst stellen

Jetzt kommt der Abschnitt, der in der Praxis für die meisten Abweichungen sorgt. Abschnitt 7.5.1 sagt, dass Ihr Qualitätsmanagementsystem zwei Arten dokumentierter Information enthalten muss: die von der Norm geforderte – und die, welche Sie selbst als notwendig für die Wirksamkeit Ihres Systems bestimmt haben.

Der zweite Punkt ist eine Selbstbindung. Alles, was Sie schreiben, wird zum Maßstab, an dem Sie gemessen werden. Wer sich vierzig Verfahrensanweisungen ins System legt, hat vierzig Verfahrensanweisungen zu leben – und der Auditor prüft jede davon gegen die Realität.

Genau das ist der Grund, warum aufgeblähte Systeme im Audit schlechter abschneiden als schlanke. Nicht weil Auditoren Papier nicht mögen, sondern weil jede zusätzliche Festlegung eine zusätzliche Angriffsfläche ist. Der Klassiker: eine übernommene Musterdokumentation, in der ein Freigabeprozess mit vier Stufen beschrieben ist, den im Alltag niemand so durchläuft. Das ist eine Abweichung – erzeugt durch ein Dokument, das nie jemand gebraucht hat.

Unsere Faustregel: Schreiben Sie nur auf, was ohne Beschreibung schiefginge. Alles andere kostet Sie zweimal – einmal beim Schreiben und einmal beim Erklären, warum es nicht gelebt wird.

Und was ist mit der Lenkung der Dokumente?

Für alles, was Sie führen – ob gefordert oder selbst gewählt –, stellt die Norm noch Anforderungen an den Umgang damit:

• Abschnitt 7.5.2: Beim Erstellen und Aktualisieren angemessene Kennzeichnung und Beschreibung (Titel, Datum, Autor oder Referenznummer), angemessenes Format und Medium sowie eine angemessene Überprüfung und Genehmigung.
• Abschnitt 7.5.3: Für die Lenkung sind, falls zutreffend, zu berücksichtigen: Verteilung, Zugriff und Auffindung, Ablage und Erhaltung der Lesbarkeit, Überwachung von Änderungen wie Versionskontrolle sowie Aufbewahrung und weiterer Verbleib. Dokumente externer Herkunft, die Sie als notwendig bestimmt haben, sind ebenfalls zu kennzeichnen und zu lenken. Und Nachweise, die Sie als Beleg der Konformität aufbewahren, müssen vor unbeabsichtigten Änderungen geschützt sein.

Klingt nach einem Dokumentenmanagementsystem, ist aber keines. Ein strukturierter Ordner mit Versionierung, klaren Zugriffsrechten und einer erkennbaren Freigabe erfüllt diese Anforderungen. Eine Datei namens QM-Handbuch_final_v3_NEU_Kopie.docx auf einem Netzlaufwerk nicht.

Wie das in der Praxis aussieht

Nehmen wir einen Dienstleister mit 15 Mitarbeitern, keine Entwicklung, keine Messmittel. Seine vollständige, normkonforme Dokumentation:

• Anwendungsbereich und Qualitätspolitik: zusammen zwei Seiten
• Qualitätsziele: eine Tabelle
• Eine Prozessübersicht mit den fünf bis sechs Kernprozessen und den zugehörigen Verantwortlichkeiten: wenige Seiten
• Kompetenznachweise: die vorhandenen Personalakten und Schulungsbelege
• Lieferantenbewertung: eine Liste mit Kriterien und Bewertungsstand
• Kundenanfragen und Auftragsprüfung: die Vorgänge im CRM
• Reklamationen und Korrekturmaßnahmen: die Einträge im Ticketsystem
• Internes Audit, Managementbewertung, Kennzahlen: drei Protokolle pro Jahr

Das ist kein reduziertes System. Das ist ein vollständiges – und es ist auditierbar, weil jeder Punkt einer echten Tätigkeit entspricht.

Warum trotzdem überall Ordnerwände stehen

Wenn so wenig gefordert ist – warum sieht die Realität dann anders aus? Drei Gründe, und keiner davon steht in der Norm.

Erstens: Vorlagenpakete. Ein gekauftes Dokumentenpaket enthält, was für alle passen könnte – also alles. Für Ihren Betrieb passt davon ein Bruchteil, der Rest wird trotzdem mitgeschleppt.

Zweitens: Aufwand als Verkaufsargument. Wo nach Umfang abgerechnet wird, entsteht Umfang. Fünfzig Dokumente sehen nach mehr Gegenwert aus als acht – auch wenn acht besser funktionieren.

Drittens: die Angst vor dem Auditor. Viele dokumentieren vorsorglich, weil sie befürchten, sonst etwas nicht belegen zu können. Das Gegenteil tritt ein: Je mehr Sie festschreiben, desto mehr müssen Sie einhalten.

Wir sehen das in Audits ständig – und sagen es dann auch: Ein System, das aus Vorsicht doppelt so groß ist wie nötig, ist kein sicheres System. Es ist ein System mit doppelt so vielen Stellen, an denen Anspruch und Wirklichkeit auseinanderlaufen.

Fazit: Weniger Papier, mehr System

Die ISO 9001 verlangt drei gepflegte Dokumente, rund zwanzig Nachweisstellen – von denen viele auf Ihr Unternehmen nicht zutreffen – und ansonsten genau das, was Sie selbst als notwendig bestimmen. Kein Handbuch, keine Pflichtverfahren, keine Ordnerwand.

Was die Norm stattdessen verlangt, ist unbequemer als Dokumentation: dass Ihre Prozesse funktionieren, dass Sie messen, ob sie funktionieren, und dass Sie reagieren, wenn sie es nicht tun. Papier ist dabei ein Hilfsmittel, kein Ziel.

Deshalb schauen unsere Auditoren zuerst auf die gelebte Praxis und erst danach in den Ordner. Wenn beides zusammenpasst, ist das Audit kurz. Wenn es auseinanderfällt, hilft auch der dickste Ordner nicht.

---

Sie sind unsicher, ob Ihre bestehende Dokumentation zu viel oder zu wenig abdeckt? Schicken Sie uns Ihre Dokumentenliste – im kostenlosen Erstgespräch sagen wir Ihnen offen, was Sie brauchen, was Sie streichen können und was tatsächlich fehlt.