Die Managementbewertung ist die in Kapitel 9.3 aller ISO-Managementnormen geforderte, regelmäßige Bewertung des Managementsystems durch die oberste Leitung. Sie prüft anhand festgelegter Eingaben wie Auditergebnissen, Kennzahlen und Kundenrückmeldungen, ob das System wirksam ist, und legt als Ergebnis Verbesserungen, Änderungen und Ressourcen fest. Üblich ist ein dokumentierter Termin pro Jahr.
In vielen Betrieben ist die Managementbewertung der unbeliebteste Termin des QM-Jahres: eine Folienschlacht, kurz vor dem Audit zusammenkopiert, die niemand liest. Dabei ist sie das einzige Instrument, mit dem die Geschäftsführung ihr Managementsystem formal steuert – und zugleich eine der häufigsten Quellen für Abweichungen im Zertifizierungsaudit, weil Pflichtinhalte fehlen oder Beschlüsse nicht dokumentiert sind.
Dieser Artikel zeigt, was Kapitel 9.3 wirklich verlangt: alle Pflicht-Eingaben und Ergebnisse in einer vollständigen Tabelle, eine erprobte 90-Minuten-Agenda, die richtige Frequenz und die Fehler, die Auditoren am häufigsten notieren. Damit wird aus der Pflichtübung ein Werkzeug, das Entscheidungen produziert statt Papier.
Was ist die Managementbewertung und warum gibt es sie?
Die Managementbewertung – im Englischen Management Review – ist die regelmäßige, systematische Bewertung des gesamten Managementsystems durch die oberste Leitung. Sie ist in Kapitel 9.3 verankert, und zwar dank der gemeinsamen Grundstruktur (Harmonized Structure) wortgleich aufgebaut in ISO 9001, ISO 14001, ISO 45001, ISO 27001 und ISO 50001. Wer mehrere Normen betreibt, findet die Anforderung also immer an derselben Stelle.
Der Zweck ist einfach erklärt: Die Geschäftsführung soll in geplanten Abständen prüfen, ob das Managementsystem noch geeignet, angemessen und wirksam ist – und ob es zur strategischen Ausrichtung des Unternehmens passt. Die Norm zwingt die Leitung damit, sich mindestens einmal im Zyklus mit Fakten statt Bauchgefühl zu befassen: Erreichen wir unsere Ziele? Was sagen Kunden, Audits und Kennzahlen? Wo fehlen Ressourcen?
Wichtig: Die Bewertung ist Chefsache und nicht delegierbar. Der Qualitätsmanagementbeauftragte bereitet Daten auf und moderiert, aber bewerten und entscheiden muss die oberste Leitung selbst. Ein Protokoll, das nur der QMB geschrieben und unterschrieben hat, ohne dass die Geschäftsführung erkennbar beteiligt war, gilt in Audits regelmäßig als Abweichung.
Kapitel 9.3 im Detail: alle Pflicht-Eingaben und Ergebnisse
Kapitel 9.3 der ISO 9001:2015 listet die Eingaben (Inputs) in 9.3.2 und die Ergebnisse (Outputs) in 9.3.3 abschließend auf. Die folgende Tabelle zeigt alle Pflichtelemente mit typischen Quellen aus der Betriebspraxis. Sie eignet sich direkt als Vollständigkeits-Checkliste für Ihr Protokoll:
| Element | Pflichtinhalt nach Kapitel 9.3 | Typische Quelle im Betrieb |
|---|---|---|
| Eingabe a | Status der Maßnahmen aus vorherigen Managementbewertungen | Maßnahmenliste, letztes Protokoll |
| Eingabe b | Änderungen bei externen und internen Themen, die das System betreffen | Kontextanalyse, Strategie, Markt- und Gesetzesbeobachtung |
| Eingabe c1 | Kundenzufriedenheit und Rückmeldungen relevanter interessierter Parteien | Kundenbefragung, Reklamationen, Beschwerden, Lob |
| Eingabe c2 | Umfang, in dem die Qualitätsziele erreicht wurden | Zielübersicht mit Kennzahlenstand |
| Eingabe c3 | Prozessleistung und Konformität von Produkten und Dienstleistungen | Prozesskennzahlen, Fehlerquoten, Prüfergebnisse |
| Eingabe c4 | Nichtkonformitäten und Korrekturmaßnahmen | Fehlersammelliste, 8D-Reports, Maßnahmenverfolgung |
| Eingabe c5 | Ergebnisse von Überwachung und Messung | Messdaten, Prüfmittelüberwachung, Auswertungen |
| Eingabe c6 | Auditergebnisse | Berichte interner und externer Audits |
| Eingabe c7 | Leistung externer Anbieter | Lieferantenbewertung, Wareneingangsdaten |
| Eingabe d | Angemessenheit der Ressourcen | Personalplanung, Investitionsbedarf, Auslastung |
| Eingabe e | Wirksamkeit der Maßnahmen zu Risiken und Chancen | Chancen-Risiken-Liste mit Maßnahmenstatus |
| Eingabe f | Möglichkeiten zur Verbesserung | KVP-Vorschläge, Ideen aus Team und Audits |
| Ergebnis a | Entscheidungen zu Möglichkeiten der Verbesserung | Beschlossene Maßnahmen mit Verantwortlichem und Termin |
| Ergebnis b | Änderungsbedarf am Managementsystem | Beschlüsse zu Prozessen, Dokumenten, Zielen |
| Ergebnis c | Ressourcenbedarf | Freigaben für Personal, Investitionen, Schulungen |
Die Erfahrung aus Audits zeigt: Am häufigsten vergessen werden die Eingaben b (Kontextänderungen), c7 (Lieferantenleistung) und e (Wirksamkeit der Risiko- und Chancenmaßnahmen). Genau dort schauen Auditoren zuerst hin.
Die schlanke Agenda: in 90 Minuten durch die Bewertung
Eine Managementbewertung muss kein Ganztagestermin sein. Wenn Kennzahlen und Auditberichte vorbereitet vorliegen, reichen in einem Betrieb mit 10 bis 50 Mitarbeitenden 90 Minuten. Diese Agenda deckt alle Pflichteingaben ab und lässt sich Jahr für Jahr wiederverwenden:
- Maßnahmen aus der letzten Bewertung (10 Minuten): Was wurde umgesetzt, was hängt, warum?
- Änderungen im Kontext (5 Minuten): neue Kunden, Gesetze, Wettbewerber, Personalsituation.
- Kennzahlen und Qualitätsziele (20 Minuten): Zielerreichung, Trends, Ausreißer.
- Audits, Nichtkonformitäten, Korrekturmaßnahmen (15 Minuten): Ergebnisse, offene Abweichungen, Wirksamkeit.
- Kundenzufriedenheit und Reklamationen (10 Minuten): Rückmeldungen, Beschwerdetrends.
- Lieferantenleistung (5 Minuten): kritische Lieferanten, Wareneingangsqualität.
- Risiken und Chancen (5 Minuten): Wirksamkeit der Maßnahmen, neue Themen.
- Ressourcen (10 Minuten): Personal, Ausrüstung, Budget für das kommende Jahr.
- Beschlüsse (10 Minuten): Verbesserungen, Änderungen, Ressourcen – jeweils mit Verantwortlichem und Termin.
Drei Regeln machen den Termin effizient: Erstens werden Zahlen vorab verteilt und im Termin nur bewertet, nicht vorgelesen. Zweitens wird das Protokoll direkt im Termin geschrieben, am besten in einer Vorlage mit denselben neun Punkten. Drittens gilt für jeden Beschluss das Muster Wer macht was bis wann – ohne diese drei Angaben ist ein Beschluss keiner.
Wie oft, wann und in welcher Form?
Die Norm schreibt keine feste Frequenz vor, sondern verlangt Bewertungen in geplanten Abständen. In der Praxis hat sich ein Rhythmus von einmal pro Jahr etabliert; Zertifizierungsstellen erwarten mindestens eine vollständige Bewertung pro Auditzyklusjahr. Sinnvoll ist ein Termin vier bis acht Wochen vor dem externen Audit – spät genug, damit aktuelle Zahlen und das interne Audit vorliegen, früh genug, um Beschlüsse noch anzustoßen.
Zulässig ist auch ein aufgeteiltes Vorgehen: Manche Unternehmen behandeln Kennzahlen quartalsweise in der Geschäftsleitungsrunde und fassen einmal jährlich alle übrigen Eingaben zusammen. Das akzeptieren Auditoren, solange nachweisbar ist, dass über das Jahr alle Pflichteingaben behandelt wurden und die Ergebnisse dokumentiert sind.
Zur Form: Kapitel 9.3.3 verlangt dokumentierte Information als Nachweis der Ergebnisse. Ein Protokoll von zwei bis vier Seiten reicht vollständig aus – entscheidend ist, dass alle Eingaben erkennbar behandelt und die drei Ergebniskategorien mit konkreten Beschlüssen gefüllt sind. Präsentationsfolien alleine sind riskant, wenn daraus nicht hervorgeht, was entschieden wurde.
Wer nimmt teil? Rollen und Verantwortung
Pflicht ist die Teilnahme der obersten Leitung – also der Person oder des Gremiums, das das Unternehmen auf höchster Ebene führt und Ressourcen freigeben kann. In einer GmbH mit 20 Mitarbeitenden ist das die Geschäftsführung, in größeren Strukturen die Geschäftsleitung als Runde.
Bewährt hat sich folgende Rollenverteilung:
- Geschäftsführung: bewertet, entscheidet, gibt Ressourcen frei. Ihre Anwesenheit und ihre Entscheidungen müssen aus dem Protokoll hervorgehen.
- QMB oder Managementsystem-Verantwortliche: bereiten Kennzahlen, Auditergebnisse und Maßnahmenstände auf, moderieren den Termin, führen das Protokoll.
- Führungskräfte der Kernprozesse: liefern Bewertungen zu ihren Bereichen, etwa Produktionsleitung zu Fehlerquoten oder Vertrieb zu Kundenrückmeldungen. In kleinen Betrieben übernimmt das die Geschäftsführung gleich mit.
Ein häufiges Missverständnis: Die Bewertung ist kein QM-Termin, zu dem die Geschäftsführung eingeladen wird, sondern ein Geschäftsführungstermin, den das QM vorbereitet. Diese Blickrichtung entscheidet darüber, ob am Ende Beschlüsse stehen oder nur zur Kenntnis genommene Folien.
Typische Fehler und Auditfeststellungen
Die Managementbewertung gehört zu den Kapiteln mit den meisten Feststellungen in Zertifizierungsaudits. Diese Fehler tauchen immer wieder auf:
- Fehlende Pflichteingaben: Lieferantenleistung, Kontextänderungen oder die Wirksamkeit der Risikomaßnahmen fehlen im Protokoll. Abhilfe: die Tabelle oben als Checkliste an das Protokoll heften.
- Datenschau ohne Beschlüsse: Es wurden Zahlen präsentiert, aber keine der drei Ergebniskategorien gefüllt. Eine Bewertung ohne Entscheidungen erfüllt 9.3.3 nicht.
- Beschlüsse ohne Verantwortliche und Termine: Wir wollen die Reklamationsquote senken ist kein Beschluss, sondern ein Wunsch.
- Copy-Paste vom Vorjahr: Auditoren vergleichen Protokolle. Identische Formulierungen bei geänderten Kennzahlen fallen sofort auf.
- Termin nach dem Audit: Liegt die letzte Bewertung länger als zwölf Monate zurück, riskieren Sie eine Abweichung, bevor das Audit richtig begonnen hat.
- Keine Wirksamkeitsprüfung: Maßnahmen aus dem Vorjahr werden als erledigt abgehakt, ohne zu bewerten, ob sie gewirkt haben.
Die gute Nachricht: All diese Punkte sind mit einer festen Protokollvorlage und 15 Minuten mehr Sorgfalt vollständig vermeidbar.
Managementbewertung im integrierten Managementsystem
Wer mehrere Normen betreibt – etwa ISO 9001 plus ISO 14001 und ISO 45001 – muss nicht drei getrennte Bewertungen durchführen. Ein gemeinsamer Termin mit einem gemeinsamen Protokoll ist zulässig und üblich, solange die normspezifischen Zusatzeingaben behandelt werden:
- ISO 14001: zusätzlich Entwicklung der bedeutenden Umweltaspekte, Erfüllung bindender Verpflichtungen und relevante Rückmeldungen interessierter Parteien einschließlich Beschwerden.
- ISO 45001: zusätzlich Vorfälle und Beinaheunfälle, Ergebnisse der Konsultation und Beteiligung der Beschäftigten sowie die Entwicklung der Gefährdungen und Risiken.
- ISO 27001: zusätzlich Ergebnisse der Risikobeurteilung, Status des Risikobehandlungsplans und Rückmeldungen zur Informationssicherheitsleistung einschließlich Sicherheitsvorfällen.
- ISO 50001: zusätzlich Entwicklung der Energieleistungskennzahlen (EnPIs), Vergleich mit der energetischen Ausgangsbasis und Stand der Aktionspläne.
Praktisch bedeutet das: dieselbe 90-Minuten-Agenda, ergänzt um einen normspezifischen Block von jeweils 10 bis 15 Minuten pro zusätzlicher Norm. Ein integrierter Termin von zwei bis drei Stunden ersetzt so drei oder vier Einzeltermine – und zwingt nebenbei dazu, Qualität, Umwelt, Arbeitsschutz und Informationssicherheit einmal im Jahr gemeinsam zu denken statt in Silos.
Häufige Fragen
Ja. Kapitel 9.3 ist in allen zertifizierbaren ISO-Managementnormen eine Muss-Anforderung. Im Stufe-2-Audit erwartet der Auditor mindestens eine vollständig durchgeführte und dokumentierte Managementbewertung. Fehlt sie oder fehlen wesentliche Pflichteingaben, ist das üblicherweise eine Hauptabweichung – das Zertifikat wird dann erst nach Nachbesserung empfohlen.
Die Norm verlangt geplante Abstände, ohne eine Frequenz vorzuschreiben. Etabliert ist ein Termin pro Jahr, idealerweise vier bis acht Wochen vor dem externen Audit. Auch eine Aufteilung auf mehrere unterjährige Termine ist zulässig, wenn über das Jahr alle Pflichteingaben nachweisbar behandelt werden.
In kleinen und mittleren Unternehmen reichen bei guter Vorbereitung 60 bis 120 Minuten für eine Norm. Entscheidend ist, dass Kennzahlen, Auditberichte und Maßnahmenstände vorab aufbereitet sind und im Termin nur bewertet und entschieden wird. Pro zusätzlicher Norm im integrierten System kommen etwa 10 bis 15 Minuten hinzu.
Nein. Die Bewertung ist ausdrücklich Aufgabe der obersten Leitung und nicht delegierbar. Der QMB darf und soll die Daten aufbereiten, den Termin moderieren und das Protokoll führen – aber die Bewertung der Wirksamkeit und die Beschlüsse zu Verbesserungen, Änderungen und Ressourcen muss die Geschäftsführung selbst treffen und verantworten.
Nachweispflichtig sind die Ergebnisse: Entscheidungen zu Verbesserungen, zum Änderungsbedarf am Managementsystem und zum Ressourcenbedarf. Praktisch bewährt haben sich zusätzlich Datum, Teilnehmende und eine Gliederung entlang aller Pflichteingaben aus 9.3.2. Jeder Beschluss braucht Verantwortlichen und Termin. Zwei bis vier Seiten genügen in der Regel.
Das interne Audit prüft vor Ort, ob Prozesse die Normanforderungen und eigenen Vorgaben erfüllen – durchgeführt von geschulten, möglichst unabhängigen Auditoren. Die Managementbewertung ist eine Ebene darüber angesiedelt: Die Geschäftsführung bewertet auf Basis der Auditergebnisse und weiterer Eingaben das Gesamtsystem und trifft Steuerungsentscheidungen. Das Audit liefert also eine der Eingaben für die Bewertung.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT