Integriertes Managementsystem für mehrere Normen
Kombinieren Sie 27001:2022, 7510:2024, 42001 und 22301 in einem steuerbaren Managementsystem.
Ein guter Normenrahmen führt Risiken, Verantwortlichkeiten und Maßnahmen zusammen. So verhindern Sie, dass jede Norm eine eigene Sammlung von Dokumenten, Besprechungen und Kontrollen erhält.
Was ist ein integriertes Managementsystem?
Ein integriertes Managementsystem verbindet die Anforderungen aus mehreren Normen innerhalb einer Struktur für Governance, Risiken, Richtlinien, Umsetzung und Verbesserung.
Viele Managementsystemnormen erfordern vergleichbare Komponenten. Denken Sie an Kontextanalyse, Führung, Risikobeurteilung, Zielsetzungen, Kompetenzen, interne Audits und Managementbewertung.
Die Normen haben jeweils ihr eigenes Thema. 27001:2022 konzentriert sich auf Informationssicherheit, 42001 auf die verantwortungsvolle Steuerung von KI und 22301 auf Business Continuity.
Integration bedeutet nicht, dass alle Anforderungen auf einem Haufen landen. Gemeinsame Prozesse werden einmal richtig eingerichtet, während fachspezifische Anforderungen erkennbar bleiben.
Wenn einzelne Normen sich gegenseitig im Weg stehen
Eine Organisation beginnt oft mit einer Norm. Sobald eine zweite oder dritte Norm hinzukommt, werden bestehende Arbeitsweisen kopiert.
Es entstehen verschiedene Risikoregister, separate Besprechungsstrukturen und mehrere Versionen vergleichbarer Verfahren. Derselbe Lieferant wird aus verschiedenen Blickwinkeln bewertet. Maßnahmen aus Audits und Risikoanalysen landen in separaten Listen.
Die Geschäftsführung erhält dadurch ein fragmentiertes Bild von Risiken und Verbesserungen. Entscheidungen über Informationssicherheit, KI und Kontinuität werden nebeneinander getroffen, obwohl sie in der Praxis oft zusammenhängen.
In unserer Praxis sehen wir, dass die Integration meist nicht an den Anforderungen der Normen scheitert. Der Engpass liegt häufiger bei der Verantwortlichkeit. Prozesse sind doppelt eingerichtet, aber niemand hat die Befugnis, sie zusammenzuführen.
Eine Governance-Basis, vier Schwerpunkte
Jede Norm hat ein eigenes Thema. Der Zusammenhang entsteht in der Governance, dem Risikomanagement, den Audits und der Verbesserung.
Informations-sicherheit
Strukturiert die Bewertung und Steuerung von Informationssicherheitsrisiken.
Informations-sicherheit im Gesundheitswesen
Verbindet Informationssicherheit mit dem Gesundheitskontext und dem Schutz von Gesundheitsinformationen.
KI-Governance
Gibt Struktur für Verantwortlichkeiten, Risiken und den kontrollierten Einsatz von KI-Systemen.
Business Continuity
Verbindet kritische Aktivitäten, Abhängigkeiten, Wiederherstellungsmaßnahmen und Übungen.
Welche Prozesse lassen sich integrieren?
Viele Governance-Prozesse können für mehrere Normen gemeinsam eingerichtet werden.
Dies gilt für Kontext und Interessengruppen, Rollen und Befugnisse, Risikomanagement, Zielsetzungen, Kompetenzen, Lieferanten und Dokumentensteuerung.
Integration beginnt nicht bei Dokumenten. Die erste Frage ist, welche Entscheidungen die Organisation treffen muss und welche Informationen dafür benötigt werden.
Auch interne Audits, Korrekturmaßnahmen und Managementbewertungen können über ein zusammenhängendes Programm gesteuert werden.
Ein Auditprogramm kann mehrere Normen abdecken, solange die Ziele, Kompetenzen und Nachweise pro Thema erkennbar bleiben.
Eine Managementbewertung kann effektiver sein als verschiedene separate Sitzungen, sofern jedem relevanten Thema ausreichend Aufmerksamkeit geschenkt wird.
Normen und Gesetzgebung
Normen und Gesetzgebung haben unterschiedliche Funktionen. Eine Norm beschreibt Anforderungen an ein Managementsystem oder einen Steuerungsbereich. Gesetze und Vorschriften legen fest, welche rechtlichen Verpflichtungen für eine Organisation gelten können.
Ein Managementsystem kann helfen, geltende Verpflichtungen in Verantwortlichkeiten, Prozesse und nachweisbare Steuerung zu übersetzen. Der Normenrahmen ersetzt dabei keine rechtliche Prüfung.
Für Themen wie die DSGVO, NIS2 und die europäische KI-Verordnung muss die Organisation zunächst feststellen, welche Verpflichtungen tatsächlich gelten. Rechts- und Datenschutzfragen gehören zu einem qualifizierten Spezialisten. iQomply konzentriert sich anschließend auf die organisatorische Einbettung in das Managementsystem.
Diese Unterscheidung verhindert, dass eine Zertifizierung als automatischer Beweis für die rechtliche Konformität behandelt wird.
So baut iQomply einen integrierten Normenrahmen auf
SCHRITT 01
Scope bestimmen
Wir legen fest, welche Normen, Prozesse, Systeme und Organisationseinheiten in das Managementsystem fallen. Zudem bewerten wir, welche bestehenden Arbeitsweisen nutzbar sind.
Scope und Ausgangssituation
SCHRITT 02
Zusammenhänge analysieren
Wir legen gemeinsame und normspezifische Anforderungen nebeneinander. So wird deutlich, was gemeinsam eingerichtet werden kann und wo separate Expertise erforderlich bleibt.
Overlap en verschillen
SCHRITT 03
Governance einrichten
Wir übersetzen den Normenrahmen in Verantwortlichkeiten, Entscheidungsfindung, Risiken, Ziele und Steuerungsprozesse, die zur Organisation passen.
Rollen en processen
SCHRITT 04
Wirksamkeit prüfen
Mit internen Audits, Analysen und Managementbewertungen prüfen wir, ob das System funktioniert und wo Nachsteuerungsbedarf besteht.
Toetsing en verbetering
Was ein integriertes Managementsystem bringt
Ein integrierter Ansatz reduziert unnötige Variationen und macht Verantwortlichkeiten besser sichtbar. Teams arbeiten mit denselben Grundsätzen, während fachspezifische Anforderungen erhalten bleiben.
Risiken werden im Zusammenhang bewertet, Verbesserungsmaßnahmen können zentral verfolgt werden und die Geschäftsführung erhält einen besseren Überblick über die Wirksamkeit des Managementsystems.
Der eigentliche Gewinn liegt nicht in weniger Dokumenten. Der Gewinn liegt in besseren Entscheidungen und klareren Verantwortlichkeiten.
Für welche Organisationen ist dies relevant?
Ein integrierter Normenrahmen ist relevant für Organisationen, die Informationssicherheit, KI, Kontinuität oder gesundheitsspezifische Anforderungen über verschiedene Teams steuern.
Der Ansatz passt auch zu Organisationen, die eine neue Norm zu einem bestehenden Managementsystem hinzufügen möchten.
Indem zuerst die Überschneidungen untersucht werden, muss die neue Norm kein separates System neben der bestehenden Organisation werden.
Häufig gestellte Fragen zu integrierten Managementsystemen
Ein Normenrahmen macht die relevanten Normen, Anforderungen und gegenseitigen Beziehungen sichtbar. Das Managementsystem ist die Art und Weise, wie die Organisation diese Anforderungen steuert und umsetzt. Das umfasst Rollen, Entscheidungsfindung, Risiken, Prozesse, Kontrollen und Verbesserung. Ein Normenrahmen gibt also den Anforderungen Struktur. Das Managementsystem sorgt dafür, dass die Organisation nachweislich danach handelt.
Mehrere Managementsystemnormen können innerhalb einer Governance-Struktur kombiniert werden. Gemeinsame Prozesse wie Risikomanagement, interne Audits und Managementbewertung müssen dann nicht pro Norm dupliziert werden. Normspezifische Anforderungen bleiben separat erkennbar. Der richtige Grad der Integration hängt vom Scope, den Verantwortlichkeiten und der bestehenden Einrichtung der Organisation ab.
Ein integriertes Managementsystem muss nicht zu einer einzigen Zertifizierung führen. Zertifizierungsentscheidungen, Scopes und Audits können je nach Norm variieren. Die Organisation kann intern jedoch gemeinsame Governance-Prozesse nutzen. Der Vorteil entsteht in der täglichen Steuerung, auch wenn Bewertungen oder Zertifizierungen zu unterschiedlichen Zeitpunkten stattfinden.
Bestehende Prozesse und Dokumente können wiederverwendet werden, wenn sie nachweislich funktionieren und in den neuen Scope passen. Kopieren ohne inhaltliche Prüfung erhöht hingegen die Wahrscheinlichkeit von Doppelarbeit. iQomply untersucht daher zuerst, welche Teile bereits effektiv sind, welche erweitert werden müssen und welche entfallen können.
Beginnen Sie mit dem Scope, den beteiligten Verantwortlichen und den bereits bestehenden Prozessen. Erfassen Sie danach die Überschneidungen und Unterschiede zwischen den Normen. Passen Sie anschließend die Governance, Risikoanalyse und den Verbesserungszyklus an. Beginnen Sie also nicht mit dem Zusammenfügen von Handbüchern. Ein integriertes Dokument ist noch kein integriertes Managementsystem.
Von einzelnen Normen zu einem steuerbaren System
Eine zweite Norm muss nicht zu einem zweiten Managementsystem führen.
Wir erfassen die Überschneidungen, Unterschiede und organisatorischen Engpässe. Danach legen wir fest, welche Prozesse gemeinsam eingerichtet werden können und wo eine separate Steuerung erforderlich bleibt.
Bart de Man, Gründer iQomply
Bereit, von Compliance zu echter Reife zu gelangen?
Unverbindlich, praktisch und auf Ihre Situation zugeschnitten.