Die Anforderungen der ISO 9001 stehen in den Kapiteln 4 bis 10 der Norm: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Ein Unternehmen muss seine Prozesse festlegen, Risiken und Chancen behandeln, messbare Qualitätsziele verfolgen und die Wirksamkeit des Systems durch interne Audits und eine Managementbewertung nachweisen.
Wer die ISO 9001 zum ersten Mal aufschlägt, findet 30 Seiten Normtext in einer Sprache, die niemand freiwillig liest. Dabei ist die Struktur logisch aufgebaut — man muss nur wissen, was hinter den Kapitelüberschriften wirklich verlangt wird und was Auditoren später sehen wollen.
Dieser Artikel übersetzt die Anforderungen der Kapitel 4 bis 10 in verständliches Deutsch: je Kapitel die Kernpflichten, typische Nachweise und die Fallstricke, an denen Unternehmen im Audit am häufigsten hängen bleiben. Er ersetzt nicht den Normtext, macht ihn aber deutlich leichter verdaulich.
Wie die Norm aufgebaut ist: zehn Kapitel, sieben mit Anforderungen
Die Kapitel 1 bis 3 der ISO 9001 enthalten Anwendungsbereich, normative Verweise und Begriffe — hier steht nichts, was Sie umsetzen müssen. Die prüfbaren Anforderungen beginnen mit Kapitel 4. Der Aufbau folgt der High Level Structure, dem gemeinsamen Grundgerüst aller modernen ISO-Managementnormen, und bildet den PDCA-Zyklus ab: Die Kapitel 4 bis 7 entsprechen dem Planen, Kapitel 8 dem Umsetzen, Kapitel 9 dem Prüfen und Kapitel 10 dem Verbessern.
| Kapitel | Thema | Zentrale Pflichten (Auswahl) | Typische Nachweise im Audit |
|---|---|---|---|
| 4 | Kontext | Themen, interessierte Parteien, Anwendungsbereich, Prozesse bestimmen | Kontextanalyse, Prozesslandkarte, Scope-Beschreibung |
| 5 | Führung | Verpflichtung der Leitung, Qualitätspolitik, Rollen festlegen | Qualitätspolitik, Organigramm, Interview mit der Geschäftsführung |
| 6 | Planung | Risiken und Chancen behandeln, Qualitätsziele planen | Risikobewertung, Zieleliste mit Kennzahlen und Terminen |
| 7 | Unterstützung | Ressourcen, Kompetenz, Bewusstsein, dokumentierte Information lenken | Schulungsnachweise, Kompetenzmatrix, Prüfmittelliste, Dokumentenlenkung |
| 8 | Betrieb | Kernprozesse steuern, Kundenanforderungen klären, Lieferanten überwachen | Auftragsunterlagen, Prüfaufzeichnungen, Lieferantenbewertung |
| 9 | Bewertung | Messen, Kundenzufriedenheit ermitteln, intern auditieren, Management-Review | Kennzahlenberichte, Auditprogramm, Bericht zur Managementbewertung |
| 10 | Verbesserung | Nichtkonformitäten behandeln, Korrekturmaßnahmen, fortlaufende Verbesserung | Fehler- und Maßnahmenliste, Wirksamkeitsprüfung |
Kapitel 4: Kontext der Organisation — wo Sie stehen und was Ihr QMS abdeckt
Kapitel 4 verlangt vier Dinge. Erstens: Sie bestimmen die externen und internen Themen, die für Ihren Geschäftserfolg relevant sind — etwa Fachkräftemangel, Lieferkettenrisiken, Wettbewerbsdruck oder Digitalisierung. Seit dem Amendment 2024 gehört ausdrücklich die Frage dazu, ob der Klimawandel ein relevantes Thema ist. Zweitens: Sie ermitteln die interessierten Parteien (Kunden, Lieferanten, Behörden, Banken, Mitarbeitende) und deren Anforderungen. Drittens: Sie legen den Anwendungsbereich Ihres QMS fest — welche Standorte, Produkte und Tätigkeiten es umfasst. Viertens: Sie bestimmen Ihre Prozesse samt Wechselwirkungen, Kennzahlen und Verantwortlichkeiten.
In der Praxis genügen dafür eine kompakte Kontextanalyse (oft als SWOT-Tabelle), eine Übersicht der interessierten Parteien und eine Prozesslandkarte. Häufiger Auditbefund: Die Analyse wurde einmal für die Zertifizierung erstellt und seitdem nie aktualisiert. Die Norm erwartet, dass Sie diese Informationen überwachen und überprüfen — einmal jährlich vor der Managementbewertung ist ein bewährter Rhythmus.
Kapitel 5: Führung — die Geschäftsführung muss liefern, nicht delegieren
Kapitel 5 ist an die oberste Leitung adressiert und lässt sich nicht an einen Qualitätsmanagementbeauftragten wegdelegieren. Die Geschäftsführung muss die Verantwortung für die Wirksamkeit des QMS persönlich übernehmen, eine Qualitätspolitik festlegen und vermitteln, die Kundenorientierung sicherstellen und Rollen, Verantwortlichkeiten und Befugnisse zuweisen.
Die Qualitätspolitik ist dabei mehr als ein Poster im Flur: Sie muss zum Zweck und Kontext des Unternehmens passen, einen Rahmen für die Qualitätsziele bieten und die Verpflichtung zu Normerfüllung und fortlaufender Verbesserung enthalten. Ein bis zwei Seiten reichen völlig.
Im Stufe-2-Audit führt der Auditor fast immer ein Gespräch mit der Geschäftsführung — ohne QMB daneben. Typische Fragen: Welche Qualitätsziele verfolgen Sie gerade? Wie fließen Kundenreklamationen bei Ihnen ein? Wann haben Sie zuletzt die Managementbewertung durchgeführt? Wer hier nur auf den Beauftragten verweist, kassiert eine Abweichung in Kapitel 5.1 — einer der häufigsten Befunde überhaupt.
Kapitel 6: Planung — Risiken, Chancen und messbare Ziele
Kapitel 6 verlangt risikobasiertes Denken: Sie müssen bestimmen, welche Risiken und Chancen sich aus Ihrem Kontext ergeben, und Maßnahmen dazu planen. Eine formale Methode schreibt die Norm nicht vor — eine einfache Tabelle mit Risiko, Bewertung (etwa Eintrittswahrscheinlichkeit mal Auswirkung) und Maßnahme genügt in den meisten Unternehmen. Eine FMEA oder Risikomatrix ist möglich, aber keine Pflicht.
Zweite Kernpflicht sind die Qualitätsziele. Sie müssen messbar sein, zur Qualitätspolitik passen, vermittelt und aktualisiert werden. Zu jedem Ziel gehört ein Umsetzungsplan: Was wird getan, mit welchen Ressourcen, wer ist verantwortlich, bis wann, und wie wird das Ergebnis bewertet? „Wir wollen die Qualität verbessern“ ist kein Ziel — „Reklamationsquote bis 31.12. von 2,4 auf unter 1,5 Prozent senken“ schon.
Dritter Punkt: Änderungen am QMS (neue Standorte, neue Produktlinien, Softwarewechsel) müssen geplant erfolgen, nicht ad hoc. Ein kurzer Änderungsvermerk mit Zweck, Folgen und Verantwortlichkeiten reicht als Nachweis.
Kapitel 7: Unterstützung — Ressourcen, Kompetenz und Dokumentation
Kapitel 7 bündelt die unterstützenden Anforderungen. Sie müssen die nötigen Ressourcen bereitstellen: Personal, Infrastruktur, Arbeitsumgebung und — wo gemessen wird — geeignete, bei Bedarf kalibrierte Messmittel mit Nachweis der Rückführbarkeit. Auch das Wissen der Organisation gehört dazu: Was muss erhalten bleiben, wenn ein Wissensträger geht?
Bei der Kompetenz verlangt die Norm einen geschlossenen Kreislauf: erforderliche Kompetenzen bestimmen, Ist-Stand bewerten, Lücken durch Schulung oder andere Maßnahmen schließen und die Wirksamkeit prüfen. Eine Kompetenz- oder Qualifikationsmatrix plus Schulungsnachweise sind der übliche Beleg. Zusätzlich müssen Mitarbeitende die Qualitätspolitik, ihre Rolle im QMS und die Folgen von Fehlern kennen — das prüfen Auditoren gern im Gespräch an der Maschine.
Die dokumentierte Information schließlich muss gelenkt werden: eindeutig gekennzeichnet, in der aktuellen Version verfügbar, vor unbeabsichtigter Änderung geschützt. Ob das über ein Dokumentenmanagementsystem, ein Laufwerk mit klarer Struktur oder eine QM-Software geschieht, ist Ihre Entscheidung. Ein QM-Handbuch ist seit 2015 nicht mehr vorgeschrieben.
Kapitel 8: Betrieb — das längste Kapitel regelt Ihr Tagesgeschäft
Kapitel 8 ist das umfangreichste und branchenspezifischste Kapitel. Es verlangt, dass Ihre Wertschöpfung unter beherrschten Bedingungen abläuft — vom ersten Kundenkontakt bis zur Leistung nach der Lieferung:
- Anforderungen klären (8.2): Vor Auftragsannahme müssen Sie prüfen, ob Sie liefern können, was der Kunde verlangt — inklusive gesetzlicher Anforderungen und dem, was der Kunde nicht ausspricht, aber erwartet.
- Entwicklung (8.3): Wer Produkte oder Dienstleistungen entwickelt, braucht einen gesteuerten Entwicklungsprozess mit Eingaben, Reviews, Verifizierung und Validierung. Reine Fertiger ohne Entwicklung können diesen Abschnitt als nicht zutreffend ausschließen — mit Begründung im Anwendungsbereich.
- Externe Anbieter (8.4): Lieferanten und ausgelagerte Prozesse müssen nach festgelegten Kriterien ausgewählt, bewertet und überwacht werden.
- Produktion und Dienstleistungserbringung (8.5): Beherrschte Bedingungen, Kennzeichnung und Rückverfolgbarkeit, Umgang mit Kundeneigentum, Tätigkeiten nach der Lieferung.
- Freigabe und Fehlersteuerung (8.6, 8.7): Vor Auslieferung muss die Erfüllung der Anforderungen nachgewiesen sein; fehlerhafte Produkte müssen gekennzeichnet, abgesondert und gesteuert behandelt werden.
Häufigster Stolperstein: Die gelebte Praxis weicht von der beschriebenen ab — etwa wenn die Arbeitsanweisung eine Prüfung vorsieht, die in der Hektik regelmäßig entfällt. Auditoren vergleichen genau das.
Kapitel 9 und 10: Messen, bewerten, verbessern
Kapitel 9 verlangt drei Dauerläufer. Erstens die Überwachung und Messung: Sie legen fest, welche Kennzahlen Sie erheben — etwa Termintreue, Reklamationsquote, Ausschuss — und werten sie aus. Die Kundenzufriedenheit muss aktiv ermittelt werden; neben Befragungen zählen auch Wiederkaufraten, Reklamationsauswertungen oder Feedbackgespräche. Zweitens die internen Audits: in geplanten Abständen, nach einem Auditprogramm, durch möglichst unabhängige Personen — in kleinen Unternehmen darf das auch eine geschulte Person aus einem anderen Bereich oder ein externer Dienstleister sein. Drittens die Managementbewertung: Die Geschäftsführung bewertet das QMS mindestens einmal jährlich anhand der in Kapitel 9.3 aufgezählten Pflichtthemen — von Auditergebnissen über Kennzahlen bis zur Wirksamkeit der Risikomaßnahmen — und hält Entscheidungen und Maßnahmen schriftlich fest.
Kapitel 10 schließt den Kreis: Bei Fehlern und Reklamationen müssen Sie reagieren, die Ursachen analysieren und Korrekturmaßnahmen ergreifen, deren Wirksamkeit Sie später prüfen. Dazu kommt die fortlaufende Verbesserung des Systems insgesamt. Der Nachweis gelingt am einfachsten über eine zentrale Maßnahmenliste, die Fehler, Ursache, Maßnahme, Verantwortlichen, Termin und Wirksamkeitsprüfung zusammenführt.
Welche Dokumente die Norm wirklich vorschreibt
Die ISO 9001:2015 schreibt deutlich weniger Dokumente vor, als viele Vorlagenpakete suggerieren. Explizit gefordert sind unter anderem: der Anwendungsbereich des QMS, die Qualitätspolitik, die Qualitätsziele sowie Aufzeichnungen etwa zu Kompetenznachweisen, Messmittelüberwachung, Bewertung externer Anbieter, Produktfreigabe, Nichtkonformitäten, internen Audits und Managementbewertungen. Alles Weitere steht unter dem Vorbehalt der Angemessenheit: dokumentierte Information „im für die Wirksamkeit notwendigen Umfang“.
Daraus folgt eine einfache Faustregel für den Systemaufbau: Dokumentieren Sie dort, wo Fehler teuer sind, Wissen an Personen hängt oder Schnittstellen knirschen — und verzichten Sie auf Papier, das nur für den Auditor existiert. Ein schlankes System für ein kleines Unternehmen kommt oft mit 20 bis 40 Dokumenten aus, inklusive Formulare und Checklisten. Im Audit müssen Sie nicht die Menge verteidigen, sondern die Lücken begründen können: Warum ist dieser Prozess nicht beschrieben? Wenn die Antwort „weil er stabil läuft und alle ihn beherrschen“ belegbar ist, ist das normkonform.
Häufige Fragen
Kurz zusammengefasst: Kontext und interessierte Parteien analysieren, Prozesse festlegen, Führungsverantwortung wahrnehmen, Qualitätspolitik und messbare Ziele definieren, Risiken und Chancen behandeln, Kompetenzen sichern, Kernprozesse beherrscht steuern, Kennzahlen und Kundenzufriedenheit auswerten, interne Audits und eine jährliche Managementbewertung durchführen sowie Fehler systematisch abstellen.
Nein. Seit der Revision 2015 ist das QM-Handbuch keine Pflicht mehr. Die Norm verlangt nur bestimmte dokumentierte Informationen wie Anwendungsbereich, Qualitätspolitik und Qualitätsziele sowie definierte Aufzeichnungen. Viele Unternehmen führen trotzdem freiwillig ein kompaktes Handbuch, weil Kunden es erwarten oder es die Einarbeitung erleichtert.
Ja, wenn eine Anforderung auf Ihr Unternehmen nicht zutrifft und der Ausschluss die Fähigkeit, konforme Produkte zu liefern, nicht beeinträchtigt. Klassisches Beispiel ist Kapitel 8.3 Entwicklung bei reinen Fertigungs- oder Handelsbetrieben. Der Ausschluss muss im Anwendungsbereich dokumentiert und begründet werden — pauschale Streichungen akzeptieren Auditoren nicht.
Die Norm verlangt risikobasiertes Denken, aber kein formales Risikomanagementsystem. Sie müssen Risiken und Chancen bestimmen, Maßnahmen planen, in die Prozesse integrieren und deren Wirksamkeit bewerten. Eine einfache Tabelle mit Bewertung und Maßnahmen reicht in den meisten kleinen und mittleren Unternehmen aus; Methoden wie FMEA sind freiwillig.
Die Norm nennt kein festes Intervall, sondern verlangt Audits „in geplanten Abständen“ nach einem Auditprogramm. Üblich ist, alle Prozesse mindestens einmal innerhalb von zwölf Monaten zu auditieren — gern verteilt über das Jahr. Wichtige oder fehleranfällige Prozesse sollten häufiger geprüft werden als stabile Randprozesse.
Erfahrungsgemäß die Führungsverantwortung (Kapitel 5.1), die Messbarkeit der Qualitätsziele, die Vollständigkeit der Managementbewertung nach Kapitel 9.3, die Wirksamkeit von Korrekturmaßnahmen und die Übereinstimmung von beschriebener und gelebter Praxis in der Produktion. Reine Formfehler in Dokumenten führen selten zu Abweichungen — nicht gelebte Prozesse fast immer.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT