Der Lead Implementer führt den Aufbau eines Managementsystems: von der Lückenanalyse über die Festlegung des Geltungsbereichs bis zur Begleitung des Zertifizierungsaudits. Die Rolle ist ein Projektauftrag, keine Normanforderung. Der Begriff stammt aus englischsprachigen Personenzertifizierungen und ist im Umfeld von ISO/IEC 27001 am gebräuchlichsten.
Was in der Rolle tatsächlich anfällt
Der Aufgabenzuschnitt ist über Normen hinweg ähnlich:
- Geltungsbereich abgrenzen und mit der Leitung abstimmen
- Lückenanalyse gegen die Norm und Ableitung eines Umsetzungsplans mit Terminen
- Prozesse, Rollen und Zuständigkeiten festlegen, dokumentierte Information aufbauen
- das Risikoverfahren einführen — bei ISO 27001 einschließlich Statement of Applicability
- Beteiligte schulen und die ersten internen Audits organisieren
- die Zertifizierungsstelle auswählen und das Stufe-1-Audit vorbereiten
Der zeitliche Rahmen wird dabei fast immer unterschätzt. Wo die üblichen Engstellen liegen, beschreibt der Beitrag dazu, wie lange die Einführung eines Managementsystems wirklich dauert.
Drei Rollen, die regelmäßig vermischt werden
| Rolle | Aufgabe | Zeitraum | Unabhängigkeit |
|---|---|---|---|
| Lead Implementer | System aufbauen | befristetes Projekt | keine, er gestaltet |
| Lead Auditor | System prüfen und bewerten | einzelnes Audit | zwingend |
| Beauftragter | System betreiben und pflegen | dauerhaft, in der Linie | eingeschränkt |
Die dritte Zeile ist die wichtigste für die Planung. Ein Aufbauprojekt endet mit dem Zertifikat, der Betrieb beginnt dort erst. Wird die Rolle des Beauftragten nicht rechtzeitig besetzt, fällt das System nach dem ersten Überwachungsaudit auseinander — der Externe ist weg, und intern fühlt sich niemand zuständig.
Die zweite Zeile hat eine harte Grenze: Wer aufgebaut hat, prüft nicht dasselbe. Das gilt intern wie extern. Eine akkreditierte Zertifizierungsstelle darf einen Kunden nicht zertifizieren, den sie beim Aufbau beraten hat; üblich ist eine Karenz von zwei Jahren. Angebote, die Aufbau und Zertifikat aus einer Hand versprechen, sollten Sie danach fragen, wer die Zertifizierungsentscheidung trifft.
Was das Personenzertifikat aussagt
Es belegt eine bestandene Prüfung bei einem Anbieter, mehr nicht. Es ist kein geschützter Titel, es wird von keiner ISO vergeben, und es überträgt sich nicht auf das Unternehmen. Ein Betrieb wird nicht dadurch zertifizierungsreif, dass er jemanden mit diesem Zertifikat beschäftigt.
Aussagekräftiger sind zwei Fragen: Wie viele Systeme dieser Größe und Branche hat die Person aufgebaut, und was ist danach daraus geworden? Ein System, das nach zwei Jahren noch gepflegt wird, ist der belastbarere Nachweis.
Woran Aufbauprojekte scheitern
Das System wird für den Betrieb gebaut, aber ohne ihn. Ein extern erstelltes Regelwerk, das die Fachbereiche zum ersten Mal im internen Audit sehen, erzeugt Widerstand und Feststellungen.
Die Vorlagensammlung ersetzt die Analyse. Fertige Dokumente sind schnell, passen aber nicht zu den tatsächlichen Abläufen. Im Audit fällt das auf, sobald der Auditor die Person fragt, die den Prozess ausführt.
Der Übergang ist nicht geregelt. Zum Projektende gehören eine Übergabe an den benannten Beauftragten, ein Auditprogramm für die kommenden drei Jahre und eine Liste der offenen Punkte — sonst endet das Projekt mit dem Zertifikat und nicht mit einem laufenden System.