Änderungsmanagement: Änderungsmanagement bezeichnet den systematischen Prozess, mit dem Unternehmen geplante Änderungen an Prozessen, Produkten, IT-Systemen oder der Organisation vor der Umsetzung auf neue Risiken prüfen, freigeben und dokumentieren, bevor sie wirksam werden.
Fast jede moderne ISO-Managementsystemnorm verlangt eine Form des Änderungsmanagements, allerdings unter unterschiedlichen Kapitelnummern und mit unterschiedlichem Schwerpunkt.
| Norm | Kapitel | Schwerpunkt |
|---|---|---|
| ISO 9001 | 6.3 | Planung von Änderungen am QM-System |
| ISO 27001 | 6.3 / Anhang A.8.32 | Änderungen an IT-Systemen |
| ISO 45001 | 8.1.3 | Management of Change bei Sicherheitsrisiken |
| ISO 14001 | 6.3 | Umweltauswirkungen von Änderungen |
Gefordert wird jeweils eine Bewertung möglicher Folgen, bevor eine Änderung umgesetzt wird – etwa neue Risiken, Auswirkungen auf andere Prozesse oder benötigte Ressourcen und Verantwortlichkeiten. Der spezifische Begriff „Management of Change” (MoC) wird meist enger gefasst und bezeichnet vor allem in sicherheitskritischen Bereichen wie Prozessindustrie oder Anlagenbetrieb ein formales Freigabeverfahren für Änderungen mit Unfallpotenzial, während allgemeines Änderungsmanagement auch organisatorische oder softwareseitige Änderungen abdeckt.
In der Praxis reicht die Bandbreite von einer einfachen Änderungsmitteilung mit Unterschrift bis zu einem mehrstufigen Freigabeprozess mit Risikobewertung, abhängig von Tragweite und Risiko der jeweiligen Änderung.
In der IT-nahen Praxis, etwa bei ISO 27001, wird Änderungsmanagement häufig eng an ITIL-Prozesse angelehnt, etwa über ein Change Advisory Board, das größere IT-Änderungen vor der Freigabe bewertet. Kleinere Betriebe ohne eigene IT-Abteilung können dieselbe Anforderung schlanker umsetzen, etwa über eine einfache Änderungsliste mit Datum, Verantwortlichem und kurzer Risikoeinschätzung – entscheidend ist nicht die Form, sondern dass die Bewertung tatsächlich vor der Umsetzung erfolgt.
Relevanz für die Zertifizierung
Im Stufe-2-Audit prüft KCERT stichprobenartig, ob dokumentierte Änderungen – etwa ein neuer Lieferant, eine geänderte Software oder ein umgebauter Arbeitsplatz – tatsächlich vorab bewertet und freigegeben wurden, statt nur nachträglich dokumentiert zu sein. Häufigster Auditbefund ist ein Änderungsmanagement, das zwar existiert, aber nicht konsequent für alle relevanten Änderungen angewendet wird. Unternehmen sollten daher schon vor dem Audit prüfen, ob ihr Prozess auch tatsächlich gelebte Praxis ist, nicht nur ein Kapitel im QM-Handbuch.
Häufige Fragen zu Änderungsmanagement
Ja, praktisch jede moderne Managementsystemnorm verlangt eine Bewertung geplanter Änderungen vor deren Umsetzung, meist in Kapitel 6.3 oder vergleichbaren Abschnitten. Der konkrete Schwerpunkt unterscheidet sich: ISO 27001 fokussiert IT-Änderungen, ISO 45001 sicherheitskritische Änderungen, ISO 9001 und 14001 fassen den Prozess breiter.
Änderungsmanagement ist der allgemeine, normübergreifende Begriff für die Bewertung und Freigabe von Änderungen. Management of Change (MoC) bezeichnet meist enger ein formales Verfahren für sicherheitskritische Änderungen in Bereichen mit hohem Unfallpotenzial, etwa in der Prozessindustrie, und ist dort oft Teil des ISO-45001-Systems.
Auditoren wählen meist eine konkrete, kürzlich umgesetzte Änderung aus der Praxis, etwa einen neuen Lieferanten oder eine Softwareumstellung, und prüfen anhand von Dokumenten und Interviews, ob diese vorab bewertet, freigegeben und kommuniziert wurde. Fehlt dieser Nachweis, gilt das häufig als Abweichung.