Integriertes Managementsystem als Betriebsmodell: Governance, Evidenz, Rollen und Zyklen

Problem in der Praxis

Ein typisches Praxisproblem ist der Parallelbetrieb: zwei Dokumentenlenkungen mit divergierenden Versionsständen, zwei Auditkalender, zwei Managementbewertungen und zwei Maßnahmenlisten, in denen dieselbe Schulung, derselbe Lieferant und dieselbe Änderung doppelt verwaltet werden. Das kann zu widersprüchlichen Nachweisen führen, die in internen wie externen Audits sichtbar werden können.

Die Gegenbewegung ist die erzwungene Verschmelzung: eine gemeinsame Managementbewertung ohne getrennte Tagesordnung, in der Sicherheitsentscheidungen unter Qualitätskennzahlen verschwinden, und ein Register ohne Fachkennzeichnung, in dem unklar ist, wer eine Maßnahme verantwortet und wann sie als wirksam gilt.

Ein weiteres Praxisrisiko ist die Personalunion von QMB und ISB ohne zusätzliche Ressourcen und ohne getrennte Entscheidungswege. Eine Person kann beide Systeme koordinieren; dauerhaft Qualitäts- gegen Sicherheitsrisiken zu priorisieren, ohne dass eine Disziplin zurückfällt, ist in dieser Konstellation jedoch schwer; naheliegend ist, dass die Disziplin ohne aktuellen Kunden- oder Auditdruck ins Hintertreffen gerät.

CISO-Einordnung

Die strukturelle Grundlage ist die harmonisierte Struktur der Managementsystemnormen (ISO/IEC Directives, Annex SL): gleiche Gliederungslogik, gemeinsame Begriffe. Harmonisiert ist die Mechanik, nicht der Fachinhalt: Qualitäts- und Informationssicherheitsrisiken bleiben verschieden, Wirksamkeit wird nach unterschiedlichen Maßstäben beurteilt.

Gemeinsam betreibbar ist die Systemebene: eine Dokumentenlenkung statt zweier, ein Auditprogramm, eine Managementbewertung, ein Maßnahmen- und Verbesserungsregister. Getrennt bleiben die Auditkriterien und die Konformitätsbewertung je Norm; diese Linie zieht IAF MD 11. Die zusätzliche Trennung von Risikoentscheidungen und fachlichen Ownern ist eine Empfehlung des hier beschriebenen Betriebsmodells, keine Normvorgabe.

Bei der Evidenz lohnt Differenzierung. Wiederverwendbar sind Nachweise, die für beide Kriteriensätze dieselbe Tatsache belegen: Schulungsnachweise, soweit die Inhalte beide Disziplinen abdecken; Lieferantenbewertungen, wenn der Prozess Qualitäts- und Sicherheitskriterien getrennt ausweist; Änderungsdokumentation, wenn die Änderung in beiden Systemen betrachtet wurde. Nicht wiederverwendbar ist fachspezifische Evidenz: Ein Prüfprotokoll zur Produktqualität belegt keine Sicherheitsmaßnahme.

Zwei datumsabhängige Randbedingungen: IAF MD 11 stammt aus dem Bestand des IAF, das seine operativen Tätigkeiten zum 01.01.2026 eingestellt hat; die Aufgaben wurden von Global ACI übernommen, die Fortführung der Dokumentenlage ist vor verbindlicher Nutzung zu prüfen. Zudem ist seit dem 16.09.2026 die sechste Ausgabe ISO 9001:2026 veröffentlicht; die Übergangsregeln dazu hat Global ACI selbst herausgegeben (TECH-3-TR 2029-09-30 (M) vom 16.09.2026).

Umsetzungsperspektive

Dokumentenlenkung: Für das hier empfohlene Betriebsmodell gilt ein Verfahren, ein Metadatenschema, eine Fachkennzeichnung je Dokument (Qualität, Informationssicherheit oder beides) und ein fachlich zuständiger Freigeber; jede Vorgabe existiert in diesem Zielbild nur einmal. Andere Ausgestaltungen sind möglich, solange die Zuordnung eindeutig bleibt.

Auditprogramm: eine gemeinsame Jahresplanung, je Auditeinsatz fachlich getrennte Auditziele und (als eigene Empfehlung) Feststellungen, die intern einem Kriteriensatz zugeordnet werden. Ein Kombi-Audit mit der Zertifizierungsstelle bringt organisatorischen Nutzen durch gemeinsame Termine und abgestimmte Ansprechpartner; auditiert wird gegen getrennte Kriteriensätze. Berichtsformat und Zuordnung der Feststellungen richten sich nach den aktuell anwendbaren Akkreditierungsdokumenten und der Zertifizierungsstelle; dieser Artikel macht hierzu keine Vorgaben. Auditdauer, Zyklen und Auditorenqualifikation werden bewusst nicht behandelt.

Managementbewertung: IAF MD 11 beschreibt volle Integration bis hin zur gemeinsamen Managementbewertung. Das hier empfohlene Betriebsmodell nutzt einen Termin mit getrennten Tagesordnungspunkten je Regelwerk und getrennt protokollierten Entscheidungen; eine Ressourcenentscheidung zur Informationssicherheit sollte nicht als Nebensatz eines Qualitätsberichts dokumentiert sein. Eine mögliche Kontrollgestaltung für das Verbesserungsregister: einmal geführt, mit Fachkennzeichnung, einem benannten Owner je Eintrag und Wirksamkeitsbewertung nach dem Maßstab der jeweiligen Disziplin.

Rollenmodell: gemeinsame Systemverantwortung für die Mechanik (Taktung, Dokumentenlenkung, Auditprogramm, Berichtsformate), getrennte Risiko- und Maßnahmenowner für die Fachinhalte. Eine Personalunion QMB/ISB sollte in diesem Zielbild durch einen Ressourcenentscheid der Geschäftsführung und getrennte Eskalationswege abgesichert werden, damit Zielkonflikte sichtbar entschieden werden; eine Normvorgabe ist auch das nicht.

Typische Fehler

1. Personalunion QMB/ISB ohne Ressourcen und getrennte Entscheidungswege; Zielkonflikte werden unsichtbar in einer Person entschieden.
2. Gemeinsame Managementbewertung ohne getrennte Tagesordnung; Sicherheitsentscheidungen gehen in Qualitätskennzahlen unter.
3. Evidenz wird pauschal doppelt verbucht, obwohl sie nur für einen Kriteriensatz etwas belegt; Scheinabdeckung.
4. Zwei Dokumentenlenkungen laufen weiter, weil niemand die Zusammenführung entscheidet; Versionsstände widersprechen sich.
5. Gemeinsames Register ohne Fachkennzeichnung und benannten Owner je Eintrag; Wirksamkeit wird nach dem falschen Maßstab bewertet.
6. Das Kombi-Audit wird als Audit gegen einen verschmolzenen Kriteriensatz missverstanden; Feststellungen lassen sich keiner Norm zuordnen.

Risiken und Trade-offs

Integration koppelt Zyklen. Eine Verzögerung oder schwerwiegende Abweichung in einer Disziplin belastet das gemeinsame Auditprogramm und die gemeinsame Managementbewertung. Wer integriert, kauft Effizienz gegen Kopplungsrisiko und braucht saubere Fachkennzeichnung, um notfalls entkoppeln zu können.

Das zweite Risiko ist Verantwortungsdiffusion: Je mehr Mechanik geteilt wird, desto leichter entsteht der Eindruck, auch die Verantwortung sei geteilt. Gerade deshalb sollten in diesem Betriebsmodell Owner je Disziplin benannt und Entscheidungen getrennt protokolliert werden.

Drittens die Revisions-Asynchronität: Ein integrierter Dokumentationssatz enthält regelmäßig eine Norm in Umstellung und eine im Regelbetrieb. Für ISO 9001 ist das seit dem 16.09.2026 der Fall: Nach Global ACI sind ab dem 31.03.2028 Erst- und Neuzertifizierungen nur noch nach ISO 9001:2026 möglich, bestehende Zertifikate nach ISO 9001:2015 sind bis zum 30.09.2029 umzustellen. Bis dahin führt der integrierte Dokumentationssatz ISO 9001 im Übergang und ISO/IEC 27001 im Regelbetrieb.

Entscheidungspunkte

• Wo zwischen kombiniertem System und voller Integration wollen wir stehen, und für welche Systembausteine?
• Wer trägt die gemeinsame Systemverantwortung, und wer sind die getrennten Risiko- und Maßnahmenowner je Disziplin?
• Welche Evidenzarten werden wiederverwendet, welche getrennt erzeugt, und wer entscheidet das?
• Führen wir die Managementbewertung als gemeinsamen Termin, und wie dokumentieren wir Entscheidungen je Regelwerk getrennt?
• Streben wir ein Kombi-Audit mit der Zertifizierungsstelle an, und welche Voraussetzungen schaffen wir dafür?

Praktische Empfehlungen

1. Führen Sie eine einzige Dokumentenlenkung mit Fachkennzeichnung je Dokument und fachlich zuständigem Freigeber ein.
2. Planen Sie ein gemeinsames Auditprogramm, formulieren Sie je Audit getrennte Auditziele und ordnen Sie jede interne Feststellung einem Kriteriensatz zu.
3. Halten Sie die Managementbewertung als gemeinsamen Termin mit getrennten Tagesordnungspunkten ab und protokollieren Sie Entscheidungen je Regelwerk getrennt.
4. Betreiben Sie ein einziges Maßnahmen- und Verbesserungsregister mit Fachkennzeichnung und benanntem Owner je Eintrag.
5. Entscheiden Sie die Wiederverwendung von Evidenz explizit je Evidenzart und dokumentieren Sie, was ein Nachweis belegt und was nicht.
6. Sichern Sie eine Personalunion QMB/ISB durch einen Ressourcenentscheid der Geschäftsführung und getrennte Eskalationswege ab.

Relevante Normreferenzen

• ISO 9001:2026: Anforderungsrahmen QMS, sechste Ausgabe, veröffentlicht am 16.09.2026 (Referenz).
• ISO 9001:2015: bisheriger Anforderungsrahmen QMS, seit dem 16.09.2026 durch ISO 9001:2026 ersetzt; Zertifikate danach sind bis zum 30.09.2029 umzustellen (Referenz).
• ISO 9001:2015/Amd 1:2024: Amendment „Climate action changes" zur Ausgabe 2015; hier nur als Fundstelle genannt (Referenz).
• ISO/IEC 27001:2022: Anforderungsrahmen ISMS; gültige dritte Ausgabe (Referenz).
• ISO/IEC Directives Part 1, Annex SL: harmonisierte Struktur als Grundlage der Integrierbarkeit (Referenz).
• IAF MD 11:2023: Rahmen für Audits integrierter Managementsysteme; IAF hat seine operativen Tätigkeiten zum 01.01.2026 eingestellt, die Aufgaben wurden von Global ACI übernommen (Referenz).
• ISO 19011:2026: Leitfaden für das Auditieren von Managementsystemen; löst die zurückgezogene Ausgabe 2018 ab (Referenz).
• DIN EN ISO/IEC 17021-1: normative Grundlage für Zertifizierungsstellen; nur als Rolle benannt (Referenz).