Glossar der Normen- und Auditbegriffe
Begriffe aus Normtexten, Auditberichten und Zertifizierungsverfahren — jeweils zuerst in einem Satz beantwortet, dann ausführlich erklärt.
Methoden und Werkzeuge
- 5-Why-Methode Die 5-Why-Methode ermittelt die Ursache eines Problems, indem man ausgehend vom beobachteten Fehler wiederholt nach dem Warum fragt, bis eine beeinflussbare Ursache erreicht ist.
- Awareness-Schulung Eine Awareness-Schulung vermittelt Beschäftigten, welche Sicherheitsrisiken ihre eigene Tätigkeit betreffen und wie sie sich konkret verhalten sollen.
- Benchmarking Benchmarking ist der systematische Vergleich eigener Prozesse oder Kennzahlen mit einer Referenz, um Leistungsunterschiede und deren Ursachen zu erkennen.
- Business Impact Analyse Die Business Impact Analyse ermittelt die Auswirkungen einer Unterbrechung über die Zeit und leitet daraus Prioritäten und Wiederanlaufvorgaben für Aktivitäten ab.
- Chancen und Risiken Chancen und Risiken sind die Unsicherheiten aus Kontext und Erwartungen interessierter Parteien, für die ein Managementsystem geplante Maßnahmen vorsehen muss.
- Fehlersammelkarte Die Fehlersammelkarte ist ein Erfassungsformular, auf dem vorher festgelegte Fehlerarten während eines definierten Zeitraums mit ihrer Häufigkeit erfasst werden.
- FMEA Die FMEA ist eine Methode, mit der ein Team mögliche Fehler eines Produkts oder Prozesses vorab systematisch erfasst, bewertet und mit Maßnahmen belegt.
- Führungsprozess Ein Führungsprozess steuert die Organisation und das Managementsystem — er legt Ziele fest, bewertet Ergebnisse und entscheidet über Ressourcen.
- Ishikawa-Diagramm Das Ishikawa-Diagramm ist ein Werkzeug zur Ursachenanalyse, das mögliche Ursachen eines Problems grafisch nach Kategorien ordnet — in Form einer Fischgräte.
- Kennzahl Eine Kennzahl ist eine definierte, wiederholbar erhobene Messgröße, mit der die Leistung eines Prozesses oder des Managementsystems beurteilt wird.
- Kernprozess Ein Kernprozess erzeugt unmittelbar die Leistung für den Kunden — von der Anfrage über die Erbringung bis zur Übergabe.
- KVP Der kontinuierliche Verbesserungsprozess ist die dauerhafte, von allen Beschäftigten getragene Praxis, Abläufe in kleinen Schritten zu verbessern.
- Lieferantenbewertung Die Lieferantenbewertung ist die regelmäßige Beurteilung externer Anbieter anhand vorher festgelegter Kriterien, aus der eine Entscheidung über die weitere Zusammenarbeit folgt.
- Pareto-Analyse Die Pareto-Analyse sortiert Fehlerursachen oder Kostenpositionen nach ihrem Gewicht, um die wenigen Punkte zu finden, die den größten Teil des Problems verursachen.
- PDCA-Zyklus Der PDCA-Zyklus ist ein vierstufiges Vorgehensmodell zur kontinuierlichen Verbesserung: planen, umsetzen, überprüfen, anpassen — und dann von vorn.
- Poka Yoke Poka Yoke bezeichnet einfache technische oder organisatorische Vorkehrungen, die einen Fehler entweder unmöglich machen oder ihn sofort sichtbar werden lassen.
- Prozessfähigkeit Prozessfähigkeit ist die statistisch belegte Eigenschaft eines stabilen Prozesses, ein Merkmal dauerhaft innerhalb der geforderten Toleranz zu erzeugen.
- Prozessmanagement Prozessmanagement ist die dauerhafte Aufgabe, Prozesse zu bestimmen, zu beschreiben, zu messen und auf Grundlage der Messung zu verändern.
- Prozessorientierter Ansatz Der prozessorientierte Ansatz betrachtet die Organisation als System zusammenwirkender Prozesse statt als Sammlung von Abteilungen und Normkapiteln.
- Recovery Point Objective Die Recovery Point Objective ist der maximal hinnehmbare Datenverlust, ausgedrückt als Zeitspanne vor dem Eintritt der Störung.
- Recovery Time Objective Die Recovery Time Objective ist die Zeitvorgabe, innerhalb derer eine unterbrochene Aktivität wieder auf einem festgelegten Mindestniveau arbeiten muss.
- Reklamationsmanagement Reklamationsmanagement ist der geregelte Ablauf von der Erfassung einer Kundenbeschwerde über Sofortmaßnahme und Ursachenanalyse bis zur nachgewiesenen Abstellung.
- Restrisiko Das Restrisiko ist das Risiko, das nach Umsetzung der beschlossenen Behandlungsmaßnahmen verbleibt.
- Risikoakzeptanz Risikoakzeptanz ist die begründete Entscheidung, ein Risiko ohne weitere Maßnahmen zu tragen, weil es die festgelegten Akzeptanzkriterien erfüllt.
- Risikoanalyse Die Risikoanalyse untersucht ein identifiziertes Risiko auf Ursachen, mögliche Auswirkungen und bestehende Maßnahmen und leitet daraus das Risikoniveau ab.
- Risikobasiertes Denken Risikobasiertes Denken bedeutet, Risiken und Chancen bei der Planung von Prozessen systematisch zu berücksichtigen, ohne dass die Norm dafür ein formales Risikomanagement vorschreibt.
- Risikobehandlung Risikobehandlung ist die Auswahl und Umsetzung von Maßnahmen, mit denen ein bewertetes Risiko verändert wird, bis das verbleibende Risiko hinnehmbar ist.
- Risikobewertung Die Risikobewertung vergleicht das Ergebnis der Risikoanalyse mit festgelegten Risikokriterien und entscheidet, ob und mit welcher Priorität behandelt wird.
- Risikoinventar Das Risikoinventar ist das Verzeichnis aller identifizierten Risiken mit ihrer Bewertung, dem Risikoeigentümer, der beschlossenen Behandlung und dem aktuellen Status.
- Risikomatrix Die Risikomatrix ordnet Risiken in einem Raster aus Eintrittswahrscheinlichkeit und Schadensausmaß ein, um sie vergleichbar und priorisierbar zu machen.
- Risikomatrix nach Nohl Die Risikomatrix nach Nohl bewertet Gefährdungen der Gefährdungsbeurteilung anhand der möglichen Schadensschwere und der Eintrittswahrscheinlichkeit in je vier Stufen.
- Schutzbedarfsfeststellung Die Schutzbedarfsfeststellung bestimmt für jedes Objekt eines Informationsverbunds, wie hoch der Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit ist.
- SIPOC SIPOC ist eine einseitige Übersicht, die einen Prozess über die fünf Spalten Lieferant, Eingabe, Prozess, Ergebnis und Kunde beschreibt und damit seine Grenzen festlegt.
- Turtle-Diagramm Das Turtle-Diagramm ist eine einseitige Prozessdarstellung, die Eingabe, Ergebnis, Mittel, Beteiligte, Vorgehen und Messgrößen eines einzelnen Prozesses zusammenführt.
- Unterstützungsprozess Ein Unterstützungsprozess erbringt keine Leistung für den Kunden, sondern stellt den Kernprozessen Ressourcen, Informationen und Nachweise bereit.
- Wechselwirkung von Prozessen Die Wechselwirkung von Prozessen ist die festgelegte Übergabe zwischen ihnen — welches Ergebnis weitergereicht wird und welche Anforderungen dabei gelten.
- Wirksamkeitsprüfung Die Wirksamkeitsprüfung ist die nachträgliche Bewertung anhand festgelegter Kriterien, ob eine ergriffene Maßnahme die Ursache eines Problems tatsächlich beseitigt hat.
- Wissensmanagement Wissensmanagement umfasst die Bestimmung, Bereitstellung und Pflege des Wissens, das eine Organisation zur Durchführung ihrer Prozesse benötigt.
Dokumente und Nachweise
- 8D-Report Der 8D-Report ist ein standardisiertes Vorgehen zur Reklamationsbearbeitung in acht Disziplinen — von der Sofortmaßnahme bis zur nachgewiesenen Ursachenbeseitigung.
- Arbeitsanweisung Eine Arbeitsanweisung beschreibt Schritt für Schritt, wie eine einzelne Tätigkeit an einem konkreten Arbeitsplatz auszuführen ist.
- Aufzeichnung Eine Aufzeichnung ist eine dokumentierte Information, die ein erzieltes Ergebnis oder eine ausgeführte Tätigkeit nachweist und deshalb nachträglich nicht mehr geändert wird.
- Dokumentenlenkung Dokumentenlenkung ist die Gesamtheit der Regeln, mit denen eine Organisation sicherstellt, dass dokumentierte Informationen gültig, auffindbar, geschützt und in der richtigen Fassung verfügbar sind.
- Dokumentierte Information Dokumentierte Information ist der Oberbegriff für alle Informationen, die eine Organisation lenken und aufrechterhalten muss — er ersetzt die frühere Trennung zwischen Dokumenten und Aufzeichnungen.
- Formblatt Ein Formblatt ist eine freigegebene leere Vorlage, die durch das Ausfüllen zu einer Aufzeichnung wird und damit die Dokumentenart wechselt.
- Freigabe von Dokumenten Die Freigabe von Dokumenten ist der formale Akt, mit dem eine befugte Person ein Dokument als geeignet und angemessen bestätigt und damit verbindlich in Kraft setzt.
- Kompetenzmatrix Die Kompetenzmatrix ist eine Übersicht, die den Tätigkeiten eines Bereichs die geforderte und die tatsächlich vorhandene Qualifikation der Beschäftigten gegenüberstellt.
- Managementbewertung In der Managementbewertung bewertet die oberste Leitung in festgelegten Abständen, ob das Managementsystem geeignet, angemessen und wirksam ist — auf Basis vorgeschriebener Eingaben.
- Mitgeltende Unterlagen Mitgeltende Unterlagen sind alle Dokumente, die zur Anwendung eines Verfahrens zusätzlich benötigt werden — Formblätter, Checklisten, Normen, Kundenvorgaben und verknüpfte Anweisungen.
- Prozesslandkarte Die Prozesslandkarte stellt alle Prozesse einer Organisation auf einer Übersicht dar, gegliedert in Führungs-, Kern- und Unterstützungsprozesse.
- Prüfanweisung Eine Prüfanweisung legt fest, welches Merkmal mit welchem Prüfmittel, in welchem Umfang und gegen welche Grenzwerte geprüft wird und wie mit Abweichungen zu verfahren ist.
- QM-Handbuch Das QM-Handbuch ist das übergeordnete Dokument, das Aufbau, Geltungsbereich und Zusammenhänge eines Qualitätsmanagementsystems beschreibt — seit der Revision 2015 ist es nicht mehr vorgeschrieben.
- Qualitätspolitik Die Qualitätspolitik ist die dokumentierte Absichtserklärung der obersten Leitung zur Qualität, die den Rahmen für alle Qualitätsziele der Organisation vorgibt.
- Qualitätsziele Qualitätsziele konkretisieren die Qualitätspolitik auf relevanten Ebenen und Funktionen — sie müssen messbar sein, überwacht werden und zu erreichbaren Ergebnissen führen.
- Schulungsplan Der Schulungsplan legt fest, welche Beschäftigten in einem festgelegten Zeitraum welche Qualifikation erwerben oder auffrischen, mit Termin, Form und Nachweis.
- Statement of Applicability Das Statement of Applicability ist die Erklärung zur Anwendbarkeit — es dokumentiert für jede der 93 Maßnahmen aus Anhang A der ISO/IEC 27001 Anwendbarkeit, Begründung und Umsetzungsstand.
- Verfahrensanweisung Eine Verfahrensanweisung beschreibt einen abteilungsübergreifenden Ablauf und legt fest, wer welchen Schritt verantwortet, womit er beginnt und womit er endet.
- Versionierung Versionierung ist die eindeutige Kennzeichnung des Änderungsstands eines Dokuments, damit jederzeit erkennbar ist, welche Fassung gilt und welche galt.
Audit und Prüfung
- Abschlussgespräch Das Abschlussgespräch ist die Besprechung am Ende eines Audits, in der das Auditteam seine Feststellungen und die Auditschlussfolgerung vorstellt.
- Auditbericht Der Auditbericht hält Umfang, Vorgehen und Feststellungen eines Audits fest — jede Feststellung mit Nachweis und Bezug auf die geprüfte Anforderung.
- Auditfeststellung Eine Auditfeststellung ist das Ergebnis der Bewertung gesammelter Auditnachweise gegen die Auditkriterien — sie kann Konformität, Abweichung oder Verbesserungspotenzial ausweisen.
- Auditkriterien Auditkriterien sind die Anforderungen, gegen die Auditnachweise verglichen werden — die Norm ist dabei nur eine von mehreren Quellen.
- Auditplan Der Auditplan beschreibt Ablauf, Umfang und Beteiligte eines einzelnen Audits — er geht vorab an alle Betroffenen.
- Auditprogramm Das Auditprogramm ist die Gesamtplanung aller internen Audits über einen Zeitraum — mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung.
- Auditspur Die Auditspur ist die Folge zusammenhängender Nachweise, die ein Auditor von einem Einzelfall aus durch die beteiligten Prozesse verfolgt.
- Auditvolumen Das Auditvolumen ist die für ein Audit vorgesehene Zeit in Auditortagen — sie bemisst sich vor allem an der Zahl der effektiven Mitarbeiter.
- Aussetzung des Zertifikats Die Aussetzung ist die befristete Ungültigkeit eines Zertifikats — es besteht weiter, darf aber während dieser Zeit nicht verwendet werden.
- Eröffnungsgespräch Das Eröffnungsgespräch ist die kurze Besprechung zu Beginn eines Audits, in der Auditteam und Organisation Ablauf, Umfang und Spielregeln bestätigen.
- Erstzertifizierung Die Erstzertifizierung ist das erstmalige Zertifizierungsverfahren einer Organisation — zweistufig aufgebaut und Grundlage für den anschließenden Drei-Jahres-Zyklus.
- Hauptabweichung Eine Hauptabweichung liegt vor, wenn eine Normanforderung vollständig nicht erfüllt ist oder das Managementsystem in einem wesentlichen Punkt versagt — die Zertifikatserteilung wird dann ausgesetzt.
- Lieferantenaudit Ein Lieferantenaudit ist ein Audit, das ein Kunde bei seinem Lieferanten durchführt, um dessen Prozesse und Nachweise für die eigene Lieferkette zu beurteilen.
- Nachaudit Ein Nachaudit ist ein zusätzlicher Audittermin, mit dem die Umsetzung und Wirksamkeit von Korrekturmaßnahmen nach einer Abweichung überprüft wird.
- Nebenabweichung Eine Nebenabweichung ist die punktuelle Nichterfüllung einer Anforderung, ohne dass das Managementsystem als Ganzes versagt — das Zertifikat wird in der Regel trotzdem erteilt.
- Objektivität im Audit Objektivität im Audit bedeutet, dass Feststellungen auf nachprüfbaren Nachweisen beruhen und niemand die eigene Arbeit bewertet.
- Remote-Audit Ein Remote-Audit führt Auditgespräche und Nachweisprüfungen über Informations- und Kommunikationstechnik statt vor Ort durch.
- Rezertifizierung Die Rezertifizierung ist das vollständige Audit am Ende des Drei-Jahres-Zyklus, mit dem die Zertifizierung für einen neuen Zyklus erneuert wird.
- Stichprobe im Audit Die Stichprobe ist die begrenzte Auswahl an Fällen, Dokumenten und Beobachtungen, aus der ein Auditor auf die Wirksamkeit des Systems schließt.
- Stufe-1-Audit Das Stufe-1-Audit ist die erste Stufe des Zertifizierungsaudits und prüft, ob das System dokumentiert, verstanden und für Stufe 2 bereit ist.
- Stufe-2-Audit Das Stufe-2-Audit prüft vor Ort die Umsetzung und Wirksamkeit des Managementsystems und ist die Grundlage der Zertifizierungsentscheidung.
- Verbesserungspotenzial Verbesserungspotenzial ist ein Auditergebnis ohne Regelverstoß — ein Hinweis auf eine Schwachstelle, aus dem keine Maßnahmenpflicht folgt.
- Zertifikatsentzug Der Zertifikatsentzug ist die Beendigung der Zertifizierung durch die Zertifizierungsstelle — meist nach einer vorausgegangenen Aussetzung.
Normen und Regelwerke
- Anhang SL Anhang SL ist die Vorgabe der ISO an ihre eigenen Normenausschüsse, nach der jede Managementsystemnorm dieselben zehn Kapitel, dieselbe Reihenfolge und dieselben Kernbegriffe verwendet.
- Anwendungsbereich Der Anwendungsbereich beschreibt die Grenzen und die Anwendbarkeit des Managementsystems — welche Standorte, Prozesse und Leistungen es umfasst.
- Geltungsbereich Der Geltungsbereich beschreibt, welche Organisationseinheiten, Standorte, Prozesse und Produkte ein Managementsystem abdeckt — und erscheint genau so auf dem Zertifikat.
- Harmonisierte Norm Eine harmonisierte Norm ist eine europäische Norm, die im Auftrag der EU-Kommission erstellt und im Amtsblatt gelistet wurde und deren Anwendung die Vermutung der Rechtskonformität auslöst.
- High Level Structure Die High Level Structure ist der einheitliche Aufbau aus zehn Kapiteln mit gemeinsamen Begriffen und Grundtexten, dem alle modernen ISO-Managementsystemnormen folgen.
- Informationswert Ein Informationswert ist alles, was Informationen enthält, verarbeitet oder trägt und deshalb für die Organisation schützenswert ist — von der Kundendatenbank über den Laptop bis zum Wissen einer einzelnen Person.
- Informativer Anhang Ein informativer Anhang enthält Erläuterungen, Beispiele und Anleitungen zur Norm, aber keine Anforderungen — und kann deshalb keine Abweichung begründen.
- Integriertes Managementsystem Ein integriertes Managementsystem führt die Anforderungen mehrerer Managementsystemnormen in einer gemeinsamen Struktur mit einem Prozessmodell, einem Auditprogramm und einer Managementbewertung zusammen.
- Integrität Integrität ist das Schutzziel, nach dem Informationen vollständig und unverfälscht bleiben und jede Änderung nachvollziehbar ist.
- Interessierte Parteien Interessierte Parteien sind Personen oder Organisationen, die eine Entscheidung oder Tätigkeit beeinflussen können, davon beeinflusst werden oder sich beeinflusst fühlen.
- Konformität Konformität ist die Erfüllung einer festgelegten Anforderung — bezogen auf ein Produkt, einen Prozess, ein System oder eine Person.
- Konformitätsbewertung Konformitätsbewertung ist das geregelte Verfahren, mit dem festgestellt wird, ob ein Produkt, ein Prozess, ein System oder eine Person festgelegte Anforderungen erfüllt.
- Kontext der Organisation Der Kontext der Organisation umfasst die internen und externen Themen, die Ihre Fähigkeit beeinflussen, die beabsichtigten Ergebnisse des Managementsystems zu erreichen.
- Managementsystem Ein Managementsystem ist die Gesamtheit aus Politik, Zielen, Prozessen, Zuständigkeiten und Nachweisen, mit der eine Organisation ein Thema planmäßig steuert.
- Norm und Richtlinie Eine Norm ist ein freiwilliges Konsensdokument eines Normungsgremiums, eine Richtlinie je nach Herausgeber ein EU-Rechtsakt, ein Verbandsregelwerk oder eine interne Vorgabe.
- Normativer Anhang Ein normativer Anhang ist ein Anhang, dessen Inhalt zu den Anforderungen der Norm gehört und damit Grundlage einer Abweichung im Audit sein kann.
- Normumstellung Die Normumstellung ist der Weg einer zertifizierten Organisation von einer Normausgabe zur nächsten — mit Lückenanalyse, Übergangsaudit und neuem Zertifikat innerhalb der Übergangsfrist.
- Qualitätsmanagementsystem Ein Qualitätsmanagementsystem ist die Gesamtheit aus Politik, Zielen, Prozessen, Zuständigkeiten und Nachweisen, mit der eine Organisation die Qualität ihrer Leistungen steuert.
- Revision einer Norm Eine Revision ist die inhaltliche Überarbeitung einer Norm, die zu einer neuen Ausgabe mit neuer Jahreszahl und in der Regel zu einer Übergangsfrist führt.
- Schutzziele der Informationssicherheit Die Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit — jede Sicherheitsmaßnahme lässt sich darauf zurückführen, welches dieser drei Ziele sie schützt.
- Sicherheitsvorfall Ein Sicherheitsvorfall ist ein Ereignis oder eine Reihe von Ereignissen, die die Informationssicherheit wahrscheinlich beeinträchtigen und den Geschäftsbetrieb gefährden.
- Übergangsfrist Die Übergangsfrist ist der vom International Accreditation Forum festgelegte Zeitraum, in dem Zertifikate nach der alten Ausgabe einer Norm noch gültig sind und umgestellt werden müssen.
- Verfügbarkeit Verfügbarkeit ist das Schutzziel, nach dem Informationen und Systeme für Berechtigte zu dem Zeitpunkt nutzbar sind, zu dem sie benötigt werden.
- Vertraulichkeit Vertraulichkeit ist das Schutzziel, nach dem Informationen ausschließlich denjenigen zugänglich sind, die dafür eine begründete Berechtigung haben.
- Zertifizierbare Norm Eine zertifizierbare Norm enthält verbindliche Anforderungen und lässt sich in einem akkreditierten Verfahren durch eine unabhängige Stelle bestätigen.
Rollen und Verantwortung
- Auditor Ein Auditor ist eine Person mit der nachgewiesenen Kompetenz, ein Audit durchzuführen — die Norm verlangt Kompetenz, kein bestimmtes Zertifikat.
- Energiemanagementbeauftragter Der Energiemanagementbeauftragte koordiniert das Energiemanagementsystem und verantwortet, dass die energiebezogene Leistung der Organisation messbar nachverfolgt wird.
- Informationssicherheitsbeauftragter Der Informationssicherheitsbeauftragte steuert das Informationssicherheits-Managementsystem einer Organisation, entscheidet aber nicht selbst über die Annahme von Risiken.
- Interner Auditor Der interne Auditor prüft im Auftrag der eigenen Organisation, ob das Managementsystem den Anforderungen entspricht und wirksam ist — er darf dabei nicht seine eigene Arbeit bewerten.
- Lead Auditor Der Lead Auditor leitet ein Auditteam, verantwortet Planung, Durchführung und Bericht — über die Zertifikatserteilung entscheidet er jedoch nicht.
- Lead Implementer Der Lead Implementer leitet den Aufbau eines Managementsystems von der Lückenanalyse bis zur Zertifizierungsreife, ohne es später zu auditieren oder dauerhaft zu betreiben.
- Oberste Leitung Die oberste Leitung ist die Person oder Gruppe, die eine Organisation auf höchster Ebene leitet und lenkt — im Managementsystem trägt sie die Rechenschaftspflicht für dessen Wirksamkeit.
- Prozesseigner Der Prozesseigner ist die Person, die Ablauf, Leistung und Verbesserung eines Prozesses verantwortet — auch dort, wo der Prozess ihre eigene Abteilung verlässt.
- Qualitätsmanagementbeauftragter Der Qualitätsmanagementbeauftragte koordiniert Aufbau, Pflege und Weiterentwicklung des Qualitätsmanagementsystems, ohne die Verantwortung der obersten Leitung zu übernehmen.
- Sicherheitsbeauftragter Der Sicherheitsbeauftragte unterstützt den Unternehmer ehrenamtlich bei der Unfallverhütung im eigenen Arbeitsbereich und ist ab regelmäßig mehr als 20 Beschäftigten zu bestellen.
- Umweltmanagementbeauftragter Der Umweltmanagementbeauftragte koordiniert das Umweltmanagementsystem einer Organisation — er ist keine gesetzlich vorgeschriebene Rolle, sondern eine freiwillige Festlegung.