Hurra, wir dürfen wieder auditieren!

Wichtig ist erst einmal, das richtige Mindset zu etablieren. Wenn jemand "ISO-Audit" oder "TISAX-Assessment" hört, stellen sich oft erstmal die Nackenhaare auf, am liebsten würde man flüchten. Es klingt nach Arbeit, nach Bürokratie, nach "ich werde geprüft". Meine größte persönliche Herausforderung ist, diese Perspektive zu verändern. Eigentlich muss es heißen: Hurra, wir dürfen wieder auditieren. Das Ganze ist eine Riesenchance, sich mal systematisch Zeit zu nehmen, um die eigene tägliche Arbeit zu reflektieren und zu verbessern. 

Das heißt letztlich, ein Mindset zu etablieren, mit dem man kritisch hinterfragen kann, warum man eigentlich tut, was man tut, und die Gesamtzusammenhänge versteht. Ich bin in einem Bereich tätig und kenne immer nur einen Ausschnitt des Prozesses, der aber viel früher beginnt und viel später endet. Das ist der Dreh- und Angelpunkt: diese Sichtweise zu etablieren und lebendig zu gestalten. Das andere ist dann ein Stück Hausaufgabe. Man muss Audit-konform sein, muss zeigen können, dass man tut, was man sagt, und ein paar Kennzahlen sammeln, die zeigen, ob sich Maßnahmen in die richtige Richtung entwickeln. Jeder kann den besten Prozess dokumentiert haben, aber wenn er nur ein Stück Papier ist, bringt das nichts. Wir müssen ihn lebendig halten. 

Nicht jeder ist von Anfang an Feuer und Flamme, und das verstehe ich auch, es ist erstmal ein bisschen Aufwand. Aber wenn man dann mal offen in so ein Gespräch reingeht und ins Reflektieren kommt, ergibt sich ein konstruktiver Austausch. Es sprudelt aber nicht von selbst aus jedem heraus und ist auch nicht automatisch ein nachhaltig gelebter Prozess. Da muss man immer wieder daran erinnern und ein paar Maßnahmen ergreifen, damit es im Fluss bleibt.

Die ISO 9001 ist eine Zertifizierung für das Qualitätsmanagement eines Unternehmens. Nach erfolgreicher Prüfung erhält das Unternehmen ein offizielles Zertifikat. 

TISAX bewertet den Schutz von Informationen insbesondere in der Automobilindustrie. Dabei gibt es kein klassisches Zertifikat. Die erreichten Prüfergebnisse und TISAX-Labels werden im geschützten ENX-Portal hinterlegt und können mit Kunden und Geschäftspartnern geteilt werden. 

Im Prinzip zielt beides aufs Gleiche ab: Eine externe Stelle prüft, ob wir die Vorgaben, die wir erfüllen wollen, wirklich erfüllen. Der Benefit für den Kunden: Wenn er weiß, dass wir geprüft wurden, weiß er, dass wir einen gewissen Standard einhalten, und muss nicht alles einzeln nachfragen.

Bei TISAX ist die Geschichte besonders spannend: Die Automobilhersteller haben sich zusammengeschlossen und einmal gemeinsam definiert, welche Anforderungen sie an ihre Dienstleister und Lieferkette stellen. Dadurch muss nicht jeder Hersteller einzeln die Sicherheitsstandards prüfen. Wer das Prüfergebnis hat, kann sagen: Ich habe es, ihr müsst gar nicht groß nachfragen. Wir leben das. Der TISAX-Katalog ist übrigens öffentlich zugänglich, jeder kann ihn sich herunterladen und sein eigenes Assessment durchspielen, und sei es nur als Self-Audit, um zu sehen, wo man steht. Das kann ich jedem nur empfehlen.

Ich mache das jetzt grob zwei Jahre. Und ich würde sagen, es verändert sich fast täglich etwas daran, weil ich mich jeden Tag freue, wenn irgendetwas auf den Prüfstand kommt und ich es verbessern kann. Das darf auch mal heißen, dass wir etwas nicht mehr machen. Mal wieder auszumisten und alte Rituale abzulegen, macht unheimlich viel Spaß. Es gibt eigentlich nichts Cooleres, als sich mit den Kolleginnen und Kollegen zusammenzusetzen und zu überlegen, was man verbessern kann. Genau das ist der Kern eines Managementsystems, egal ob ISO oder TISAX: Systematisch wird am Prozess gearbeitet, verbindlich, und das hält ihn am Leben. Stagnation gibt es eigentlich nicht.

Ein Punkt ist erst einmal, gewisse Ängste zu nehmen. Viele haben Angst, etwas Falsches zu sagen oder ein Dokument nicht griffbereit zu haben. Diese Ängste versuche ich zu reduzieren, indem wir das Ganze im Vorfeld durchspielen. Was erwartet mich in so einem Audit, was sind typische Fragen? Das geht in Richtung Prozessverständnis, also die Frage, was man eigentlich macht, wie der eigene Job aussieht und ob es dafür eine Richtlinie gibt und wo sie abgelegt ist. Wir überlegen uns auch Beispiele, die wir zeigen können, damit nicht alles spontan kommen muss. Der Auditor will gerne etwas sehen, und wenn man sich gut vorbereitet hat, läuft das dann auch gut. 

Man bekommt vorab auch keinen Fragenkatalog, aber im Audit-Programm steht schon, welche Themen geprüft werden. Es sind immer Stichproben zum Gesamtanforderungskatalog. Die entsprechenden Fachbereiche wissen im Vorfeld, dass sie dran sind und zu welchem Themenkomplex sie gefragt werden. Wenn man das im Vorfeld ein, zweimal verprobt, läuft es auch recht gut im offiziellen Audit. 

Wir hatten die Rezertifizierung ISO 9001, das heißt, alle drei Jahre muss man sich komplett rezertifizieren und dabei durch alle Themenkomplexe einmal durchgehen. Das bedeutet, dass im Prinzip jede Anforderung aus dem ISO-Katalog irgendwo abgerufen wurde und alle unsere Kernprozesse stichprobenartig geprüft worden sind. 

Ein spannendes Beispiel ist Sales. Unser Kollege Kevin durfte den ganzen Prozess erklären, vom Erstkontakt über die Erstanfrage bis zur Aushändigung eines Angebots. Das zeigt, wie komplex Pre-Sales eigentlich ist: Der ganze Sales Cycle kann nicht allein funktionieren, sondern braucht Unterstützung von Delivery, von Softwareberatern und Architekten, die Anforderungen einschätzen und gemeinsam eine Risikobewertung ableiten, um Projektrisiken zu minimieren. Außerdem braucht es auch Software-Entwickler, um ein Angebot zu schätzen.

Besonders schön finde ich Planning Poker, wo ein paar Leute live schätzen, wie viel Aufwand hinter einer Anforderung steckt, jeder gibt sein Votum ab, dann werden die Karten aufgedeckt und jeder darf erklären, warum er so viel oder so wenig geschätzt hat. Wenn man mutig ist, macht man das sogar mit dem Kunden zusammen. Dann merkt der Kunde, dass das alles nicht so einfach ist, es entstehen Rückfragen, und genau dadurch wird schon während des Sales-Prozesses Vertrauen aufgebaut. Ähnliches gibt es in jedem Fachbereich, genauso im Recruiting, in der Projektabwicklung oder im Office dahinter. Überall gibt es spannende Prozesse, die es zu durchleuchten gilt.

Meine Wahrnehmung ist, dass diese Kompetenznachweise immer wichtiger werden. Es gibt neben ISO und TISAX auch immer mehr regulatorische Anforderungen, NIS 2, den Cyber Resilience Act, den EU AI Act und vieles mehr. Unsere Kunden müssen diese gesetzlichen Anforderungen erfüllen und sie an ihre Dienstleister weitergeben, Stichwort Lieferkette. Damit sie liefern können, müssen wir auch liefern. 

Wenn ein Kunde weiß, dass wir ISO 9001 und TISX vorweisen können, weiß er, dass wir robuste Prozesse und ein robustes Unternehmen haben, das sich auf neue Herausforderungen einstellen kann. Das gibt dem Kunden ein größeres Vertrauen und führt in letzter Konsequenz zu mehr Qualität und Zufriedenheit.

Standard, glaube ich nicht. Viele scheuen den Aufwand, obwohl man am Ende nur gewinnen kann. Das Hauptthema ist nach wie vor, dieses Denken bei der Unternehmensleitung noch mehr zu etablieren, weil man dort gerne denkt, dass ein Zertifikat erstmal nur kostet und keinen Umsatz bringt. Historisch ist das auch ein bisschen so gewachsen, früher hat man einen Qualitätsmanager ernannt, der sich darum kümmert, und das Management war fein raus. Aber es ist ein Führungsthema, das muss noch mehr in die Köpfe rein, und zwar bei allen Mitarbeitenden, nicht nur im Management. Da kann man grundsätzlich noch dran arbeiten, das gilt auch für uns. 

Alle drei Jahre kommt die große Rezertifizierung, und dazwischen haben wir bei ISO 9001 jährlich ein Überwachungsaudit. Bei TISAX gibt es das nicht, da kommt die Prüfung wirklich nur alle drei Jahre. Für uns bedeutet das aber keinen Stillstand. Wir haben unsere internen Audits, und was noch wichtiger ist: ein gelebtes Managementsystem, an dem wir alle mit gesundem Menschenverstand arbeiten wollen.

Das bedeutet, erstmal zu reflektieren und zu erkennen, was nicht so gut läuft, dann neue Strategien und Qualitätsziele zu entwickeln und vielleicht neue Kennzahlen zu definieren, um zu sehen, ob es in die richtige Richtung wirkt. Genau das ist unser Daily Job. Dazu committen wir uns verbindlich, mindestens einmal im Jahr unsere Prozesse anzuschauen und zu überprüfen, ob unsere Strategie und Maßnahmen noch passen. 

Sehr, auf jeden Fall. Es freut mich, dass wir auf einem guten Weg sind und dass der Auditor das auch so gesehen hat. Und zugleich ist das eine geschafft, das nächste kommt schon: TISAX wird unsere nächste Herausforderung. Wir starten jetzt mit den Vorbereitungen, auch wenn gewisse Verbesserungsmaßnahmen dafür schon eine ganze Zeit laufen. Wir bereiten uns gezielt darauf vor, damit wir mit gutem Gewissen in das nächste Reassessment gehen können und transparent machen, was wir leisten.

ISO / TISAX ist kein Bürokratiemonster, es ist keine Arbeitsbeschaffungsmaßnahme. Es ist sehr dienlich, es ist Best Practice, um sich verbindlich mit sich selbst auseinanderzusetzen. Meine größte Freude wäre, wenn ich im Team spüre: Hurra, wir dürfen wieder intern auditieren, wir dürfen überlegen, was wir verbessern können. Dann geht mir das Herz auf. 

Jürgen ist unser InfoSec & Quality Navigator. Er unterstützt unsere Teams dabei, Qualität, Informationssicherheit und moderne Technologien praxisnah miteinander zu verbinden. Sein Ziel ist es, aus Vorgaben und Standards echten Mehrwert zu schaffen: verständlich, pragmatisch und immer mit Blick auf Menschen, Prozesse und nachhaltige Verbesserungen.