Interessierte Parteien sind Personen oder Organisationen, die Ihr Unternehmen beeinflussen können oder von ihm beeinflusst werden – etwa Kunden, Mitarbeitende, Lieferanten, Behörden und Banken. Kapitel 4.2 jeder ISO-Managementsystemnorm verlangt, die relevanten Parteien und ihre Anforderungen zu bestimmen und regelmäßig zu überprüfen. Bewährt hat sich eine Tabelle mit Partei, Anforderungen, Relevanz und Maßnahmen.
Kapitel 4.2 gehört zu den Normanforderungen, die auf dem Papier harmlos klingen und in der Umsetzung trotzdem regelmäßig für Ratlosigkeit sorgen: Sie sollen die interessierten Parteien Ihres Unternehmens bestimmen – und deren relevante Anforderungen gleich mit. Viele Betriebe schreiben dann eine beliebige Stakeholder-Liste, heften sie ab und wundern sich, wenn der Auditor nachhakt, was daraus eigentlich folgt.
Dieser Artikel zeigt eine schlanke Methode in vier Schritten, mit der Sie die Analyse in zwei bis drei Stunden erledigen. Dazu bekommen Sie zwei vollständig ausgefüllte Beispieltabellen – für einen Maschinenbau-Betrieb und einen IT-Dienstleister – sowie die Fragen, die Auditoren zu Kapitel 4.2 wirklich stellen.
Was sind interessierte Parteien?
Die ISO 9000 definiert eine interessierte Partei als Person oder Organisation, die eine Entscheidung oder Tätigkeit Ihres Unternehmens beeinflussen kann, davon beeinflusst wird oder sich davon beeinflusst fühlen kann. Der letzte Teil ist wichtig: Auch wer sich nur betroffen fühlt – etwa Anwohner neben einer lauten Produktionshalle – zählt dazu.
Typische interessierte Parteien eines mittelständischen Betriebs sind Kunden, Mitarbeitende, Eigentümer, Lieferanten und Dienstleister, Behörden, Berufsgenossenschaft, Banken und Versicherer, Zertifizierungsstellen, Wettbewerber, Nachbarn und – je nach Norm – Notfalldienste oder Datenschutz-Aufsichtsbehörden.
Entscheidend ist die Einschränkung in der Norm: Sie müssen nicht alle denkbaren Parteien betrachten, sondern nur die, die für Ihr Managementsystem relevant sind. Relevant ist eine Partei dann, wenn ihre Anforderungen Ihre Fähigkeit beeinflussen, die beabsichtigten Ergebnisse zu erreichen – bei ISO 9001 also konforme Produkte und zufriedene Kunden, bei ISO 27001 sichere Informationen, bei ISO 45001 sichere und gesunde Arbeitsplätze. Eine Liste mit acht bis fünfzehn Parteien ist für ein KMU völlig normal; dreißig Einträge ohne Priorisierung sind dagegen ein Zeichen dafür, dass nicht gefiltert wurde.
Abgrenzung: Was gehört in 4.1, was in 4.2?
Kapitel 4.2 wird oft mit der Kontextanalyse nach Kapitel 4.1 vermischt. Die Trennlinie ist einfach:
- 4.1 behandelt Themen: interne und externe Rahmenbedingungen wie Fachkräftemangel, Marktentwicklung, Wettbewerb, Digitalisierung oder die eigene Altersstruktur. Themen haben keine Adresse – man kann ihnen keinen Brief schreiben.
- 4.2 behandelt Akteure: konkrete Personen und Organisationen mit konkreten Anforderungen und Erwartungen. Ein Kunde will Liefertreue, die Berufsgenossenschaft will gemeldete Unfälle, die Bank will belastbare Zahlen.
Beide Analysen hängen zusammen: Aus Themen und Parteien leiten Sie in Kapitel 6.1 gemeinsam die Risiken und Chancen ab, mit denen Ihr Managementsystem umgehen muss. Praktisch bedeutet das: Erst den Kontext grob klären, dann die Parteien systematisch bestimmen – oder beides in einem Workshop nacheinander. Die Kontextanalyse als Ganzes, einschließlich Anwendungsbereich und Prozessen, behandelt ein eigener Artikel; hier geht es um den Baustein interessierte Parteien.
Die Methode: In vier Schritten zur belastbaren Analyse
So gehen Sie vor – am besten im kleinen Kreis aus Geschäftsführung, QM-Verantwortlichen und ein bis zwei Führungskräften:
- Sammeln: Tragen Sie ohne Filter alle Parteien zusammen, die mit dem Unternehmen zu tun haben. Gehen Sie dazu die Gruppen Markt (Kunden, Wettbewerber), Wertschöpfung (Lieferanten, Partner), Menschen (Mitarbeitende, Bewerber), Geld (Eigentümer, Banken, Versicherer) und Regeln (Behörden, Berufsgenossenschaft, Zertifizierer) durch.
- Filtern: Prüfen Sie für jede Partei zwei Fragen: Kann sie unsere Fähigkeit beeinflussen, unsere Ziele zu erreichen? Wird sie von unserer Tätigkeit spürbar beeinflusst? Zweimal Nein bedeutet: streichen oder nur beobachten.
- Anforderungen bestimmen: Notieren Sie je Partei die konkreten Anforderungen – explizite aus Verträgen, Gesetzen und Normen ebenso wie implizite Erwartungen (etwa Erreichbarkeit oder Preisstabilität). Legen Sie fest, welche davon Sie erfüllen wollen oder müssen; aus rechtlichen Anforderungen werden bei ISO 14001 und 45001 bindende Verpflichtungen.
- Bewerten und überwachen: Stufen Sie die Relevanz ein (hoch, mittel, niedrig), leiten Sie ab, wie Sie mit der Anforderung umgehen, und legen Sie fest, wann die Tabelle überprüft wird – üblich ist einmal jährlich vor der Managementbewertung.
Das Ergebnis ist eine einzige Tabelle. Mehr Dokumentation verlangt keine der fünf großen Normen für diesen Schritt.
Beispieltabelle 1: Maschinenbau-Betrieb mit 18 Mitarbeitenden
Das erste Beispiel zeigt die ausgefüllte Analyse eines Lohnfertigers (Fräs- und Drehteile, 18 Mitarbeitende, ISO 9001 zertifiziert):
| Interessierte Partei | Anforderungen und Erwartungen | Relevanz | Umgang im Managementsystem |
|---|---|---|---|
| Kunden (Serienfertiger, OEM-Zulieferer) | Maßhaltige Teile, Liefertreue über 95 Prozent, Erstmusterprüfberichte, ISO-9001-Nachweis | hoch | Reklamationsprozess, Liefertreue-Kennzahl, jährliche Kundengespräche |
| Mitarbeitende | Sichere Arbeitsplätze, faire Bezahlung, Qualifizierung, verlässliche Schichtplanung | hoch | Unterweisungen, Schulungsplan, jährliche Mitarbeitergespräche |
| Lieferanten (Stahlhandel, Härterei) | Planbare Abrufe, eindeutige Spezifikationen, Zahlung binnen 30 Tagen | mittel | Lieferantenbewertung, Rahmenverträge, klare Bestellangaben |
| Behörden (Gewerbeaufsicht, Umweltamt) | Einhaltung Arbeitsschutzgesetz, Lärm- und Abfallvorgaben | hoch | Rechtskataster, benannte Verantwortliche, Begehungen |
| Berufsgenossenschaft | Unfallverhütung, fristgerechte Meldung von Arbeitsunfällen | mittel | Gefährdungsbeurteilungen, Unfallstatistik, Sicherheitsbeauftragter |
| Hausbank | Stabile Kennzahlen, transparente Planung | niedrig | Wird außerhalb des QM-Systems durch die Geschäftsführung bedient |
| Zertifizierungsstelle | Zugang zu Prozessen und Nachweisen, wahrheitsgemäße Angaben | mittel | Auditplanung, gepflegte dokumentierte Information |
Beachten Sie die letzte Spalte: Jede relevante Anforderung mündet in etwas Konkretes – einen Prozess, eine Kennzahl, eine Zuständigkeit. Genau diese Verbindung wollen Auditoren sehen. Und die Zeile Hausbank zeigt, dass auch ein ehrliches „betrifft das QM-System kaum“ eine zulässige Antwort ist.
Beispieltabelle 2: IT-Dienstleister mit 12 Mitarbeitenden (ISO 27001)
Dasselbe Schema funktioniert für ein Informationssicherheits-Managementsystem – nur die Parteien und Anforderungen ändern sich:
| Interessierte Partei | Anforderungen und Erwartungen | Relevanz | Umgang im Managementsystem |
|---|---|---|---|
| Kunden (Mittelstand, Handel) | Verfügbarkeit der betreuten Systeme, Vertraulichkeit, Auftragsverarbeitungsverträge nach DSGVO, zunehmend ISO-27001-Nachweis | hoch | Service-Level-Vereinbarungen, Notfallkonzept, Zertifizierung des ISMS |
| Datenschutz-Aufsichtsbehörde | DSGVO-Konformität, Meldung von Datenpannen binnen 72 Stunden | hoch | Meldeprozess für Sicherheitsvorfälle, Verzeichnis von Verarbeitungstätigkeiten |
| Cloud- und Rechenzentrumsanbieter | Einhaltung der Nutzungsbedingungen, korrekte Administration | mittel | Lieferantenbewertung, Prüfung der Anbieter-Zertifikate |
| Mitarbeitende | Klare Sicherheitsregeln statt Überwachung, mobiles Arbeiten, moderne Werkzeuge | hoch | Richtlinien, Awareness-Schulungen, geregelte Fernzugriffe |
| Cyber-Versicherung | Mindestmaßnahmen wie Mehr-Faktor-Anmeldung, geprüfte Backups, aktueller Patchstand als Bedingung des Versicherungsschutzes | hoch | Nachweis über ISMS-Maßnahmen, jährliche Selbstauskunft |
| Softwarehersteller und Distributoren | Lizenztreue, Einhaltung von Partnervorgaben | niedrig | Lizenzverwaltung im Einkaufsprozess |
Auffällig: Bei ISO 27001 rücken Parteien in den Vordergrund, die im Qualitätsmanagement kaum eine Rolle spielen – allen voran Versicherer und Aufsichtsbehörden. Wer ein bestehendes QM-System um Informationssicherheit erweitert, sollte die Tabelle deshalb nicht einfach kopieren, sondern je Norm neu durch die Relevanzfrage laufen lassen.
Von der Tabelle ins Managementsystem
Die Analyse entfaltet ihren Wert erst durch die Weiterverarbeitung. Drei Verbindungen sollten Sie herstellen:
- Nach Kapitel 6.1: Anforderungen mit hoher Relevanz werden zu Risiken oder Chancen. Verlangt ein Großkunde ab nächstem Jahr einen ISO-27001-Nachweis, ist das ein Risiko (Auftragsverlust) und eine Chance (Differenzierung) zugleich – samt Maßnahme und Termin.
- Zu den bindenden Verpflichtungen: Rechtliche Anforderungen von Behörden und Trägern gehören bei ISO 14001 und ISO 45001 ins Rechtskataster und werden regelmäßig auf Einhaltung bewertet.
- In die Managementbewertung: Änderungen bei interessierten Parteien sind ein Pflicht-Input des Management-Reviews – die jährlich geprüfte Tabelle liefert diesen Input ohne Zusatzaufwand.
Wer diese drei Fäden zieht, hat aus einer Pflichtübung ein Steuerungsinstrument gemacht – und nebenbei die Fragen beantwortet, die im Audit garantiert kommen.
Was Auditoren sehen wollen – und die häufigsten Fehler
Im Zertifizierungsaudit sind zu Kapitel 4.2 vor allem drei Fragen üblich: Wie haben Sie die relevanten Parteien bestimmt? Woher kennen Sie deren Anforderungen? Und wo fließen diese Anforderungen in Ihr System ein? Wer die Tabelle aus diesem Artikel gepflegt hat und zwei, drei Verbindungen zeigen kann – etwa von der Kundenanforderung Liefertreue zur Kennzahl im Managementreview – ist auf der sicheren Seite.
Die häufigsten Fehler in der Praxis:
- Einmal erstellt, nie wieder angefasst: Die Analyse stammt aus dem Einführungsjahr, neue Kunden, Gesetze oder Versicherungsauflagen fehlen. Planen Sie die jährliche Prüfung fest ein.
- Sammelwut statt Relevanz: Listen mit dreißig Parteien ohne Priorisierung machen Arbeit und helfen niemandem.
- Parteien ohne Anforderungen: Eine Namensliste allein erfüllt die Norm nicht – der Kern sind die Anforderungen und Ihr Umgang damit.
- Keine Verknüpfung zu Risiken und Chancen: Wenn keine einzige Anforderung in Kapitel 6.1 auftaucht, war die Analyse Selbstzweck.
- Beschäftigte vergessen: Bei ISO 45001 sind die eigenen Beschäftigten und ihre Vertretungen ausdrücklich zu berücksichtigen – sie fehlen erstaunlich oft.
Häufige Fragen
Es gibt keine Vorgabe, aber Erfahrungswerte: Bei kleinen und mittleren Unternehmen sind acht bis fünfzehn relevante Parteien üblich. Deutlich weniger deutet darauf hin, dass Gruppen wie Behörden oder Versicherer übersehen wurden; deutlich mehr, dass nicht nach Relevanz gefiltert wurde. Qualität schlägt Menge – entscheidend ist, dass zu jeder Partei konkrete Anforderungen und ein Umgang damit notiert sind.
Die Normen verlangen in Kapitel 4.2 keine ausdrückliche dokumentierte Information, wohl aber, dass Sie die Informationen überwachen und überprüfen. Ohne Aufzeichnung lässt sich das im Audit praktisch nicht nachweisen. Eine einfache Tabelle mit Partei, Anforderungen, Relevanz und Maßnahmen ist deshalb der De-facto-Standard – mehr braucht es nicht, weniger wird schwer zu verteidigen.
Inhaltlich meinen beide Begriffe dasselbe. Interessierte Partei ist die offizielle deutsche Übersetzung des englischen Normbegriffs interested party, der im Managementkontext synonym zu Stakeholder verwendet wird. In Ihren Dokumenten dürfen Sie beide Begriffe nutzen; für Audits empfiehlt sich die Normformulierung, um Diskussionen zu vermeiden.
Die Normen nennen kein Intervall, verlangen aber eine Überwachung und Überprüfung der Informationen. Bewährt hat sich eine jährliche Prüfung als fester Input der Managementbewertung, ergänzt um anlassbezogene Updates – etwa bei neuen Großkunden, neuen gesetzlichen Pflichten wie NIS2 oder geänderten Versicherungsbedingungen. Halten Sie das Prüfdatum in der Tabelle fest, damit die Aktualität nachweisbar ist.
Sie können es sein, sind aber selten relevant im Normsinn. Wettbewerber beeinflussen Ihr Geschäft, stellen aber meist keine Anforderungen an Ihr Managementsystem. In den meisten KMU-Analysen tauchen sie deshalb gar nicht oder nur als beobachtete Partei ohne abgeleitete Maßnahmen auf – das ist zulässig. Der Wettbewerbsdruck selbst gehört eher als externes Thema in die Kontextanalyse nach Kapitel 4.1.
Fehlt die Bestimmung der interessierten Parteien komplett, ist das eine Abweichung gegen Kapitel 4.2 – je nach Gesamtbild als Neben- oder Hauptabweichung eingestuft. Eine Hauptabweichung muss vor Zertifikatserteilung nachweislich behoben werden. In der Praxis kommt das selten vor; häufiger sind Hinweise, weil die Analyse veraltet ist oder keine Verbindung zu Risiken und Maßnahmen erkennbar ist.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT