Ein Managementsystem statt drei: 9001, 27001 und 42001

Der typische Weg sieht so aus: ISO 9001 gibt es seit fünfzehn Jahren, weil die Kunden es wollten. ISO 27001 kam vor drei Jahren dazu, weil ein großer Auftraggeber im Lieferantenaudit danach gefragt hat. Und jetzt steht ISO/IEC 42001 im Raum, weil das Unternehmen KI einsetzt und jemand wissen will, wer dafür geradesteht. Drei Normen. Und in vielen Betrieben inzwischen auch drei Systeme, drei Handbücher, drei Auditprogramme, drei Managementbewertungen.

Das ist teuer, und das Schlimmste daran ist nicht das Geld. Drei parallele Systeme bedeuten drei Wahrheiten über denselben Betrieb. Nach zwei Jahren weiß niemand mehr, welche davon die aktuelle ist. Ich sehe das in Audits regelmäßig, und ich habe es selbst so aufgesetzt bekommen, bevor ich es besser wusste.

Es geht anders. Ein System, mehrere Geltungsbereiche. Was dabei zusammenläuft, was getrennt bleiben muss und wo die Integration tatsächlich bricht, ist erstaunlich klar zu benennen. Ich habe die drei Normen dafür nebeneinandergelegt.

Was Sie wirklich nur einmal brauchen

Moderne ISO-Managementsystemnormen folgen einer gemeinsamen Grundstruktur. Das ist nicht nur eine inhaltliche Verwandtschaft, sondern gleiche Nummerierung und gleiche Abschnittstitel. Diese Abschnitte beschreiben Verwaltungsmaschinerie, und die betreiben Sie sinnvollerweise genau einmal.

Die Dokumentenlenkung nach 7.5 ist der Posten, der am meisten spart. Ein Lenkungsverfahren, eine Freigabesystematik, ein Ablageort, eine Versionslogik. Wer stattdessen drei Handbücher führt, hat nach einem Jahr garantiert eine Fassung, die niemand nachgezogen hat, und das fällt zuverlässig genau dann auf, wenn ein Auditor danebensitzt.

Bei den Rollen lohnt eine Präzisierung. Sie brauchen keine dritte Beauftragtenstelle. Sie brauchen für den KI-Teil benannte Verantwortung, und zwar dort, wo die Entscheidungen wirklich fallen: wer ein KI-System freigibt, wer es abschaltet, wer die Ergebnisse verantwortet. Ein zusätzliches Kästchen im Organigramm ersetzt das nicht.

Auch die Kompetenz nach 7.2 führen Sie in einer Matrix, aber die Nachweise unterscheiden sich stärker, als es aussieht. Für den Qualitätsteil ist der Nachweis meist eine Schulung. Für den KI-Teil brauchen Sie Menschen, die zwei Dinge gleichzeitig verstehen: den Fachprozess und das Verhalten des Modells darin. Wer nur eines von beiden kennt, kann die Ergebnisse nicht beurteilen, sondern nur weitergeben. Das ist der Punkt, an dem eine Kompetenzmatrix aufhört, Verwaltung zu sein, und anfängt, eine echte Aussage zu treffen.

Ein Auditprogramm statt drei

Hier wird es konkret. ISO/IEC 27001:2022 nennt das Auditprogramm sogar ausdrücklich in einem eigenen Unterabschnitt 9.2.2. ISO 19011 in der Ausgabe 2026 beschreibt in Abschnitt 5 die Steuerung eines Auditprogramms und geht selbstverständlich davon aus, dass ein Audit mehrere Auditkriterien haben kann.

Genau das ist der Hebel. Sie auditieren nicht dreimal denselben Prozess gegen drei Normen. Sie auditieren den Prozess einmal und legen mehrere Kriterien an. Beim Lieferantenmanagement sieht das so aus:

• ISO 9001, Abschnitt 8.4: Steuerung extern bereitgestellter Prozesse, Produkte und Dienstleistungen.
• ISO/IEC 27001, Anhang A, Maßnahmen A.5.19 bis A.5.22: Informationssicherheit in Lieferantenbeziehungen, in Vereinbarungen, in der IKT-Lieferkette und deren Überwachung.
• ISO/IEC 42001, Anhang A.10: Beziehungen zu Dritten und Kunden.

Ein Auditgespräch, ein Auditor, drei Kriterien, ein Bericht mit drei Zuordnungen. Der Einkaufsleiter erklärt seinen Prozess einmal statt dreimal. Das ist nicht nur billiger, es ist auch fachlich besser, weil die Wechselwirkungen sichtbar werden. Ein Dienstleister, der ein KI-Modell für Sie betreibt, ist gleichzeitig ein Qualitätsrisiko, ein Informationssicherheitsrisiko und ein KI-Risiko. Wer das in drei getrennten Audits betrachtet, sieht dreimal ein Drittel.

Ein Auditprogramm heißt außerdem: nicht jeder Prozess kommt jedes Jahr dran, sondern der, bei dem es sich lohnt. Über einen Zyklus von drei Jahren muss der Geltungsbereich abgedeckt sein, aber die Häufigkeit richtet sich nach Risiko, nach Veränderung und nach der Vorgeschichte. Ein Prozess, in dem seit dem letzten Audit ein KI-System eingeführt wurde, gehört nach vorn. Ein Prozess, der sich seit vier Jahren nicht bewegt hat und nie einen Befund hatte, verträgt einen größeren Abstand. Diese Priorisierung schriftlich zu begründen ist die halbe Miete, und sie ist genau das, wonach ein externer Auditor als Erstes fragt.

Eine Falle steckt in der Unabhängigkeit. Interne Audits dürfen nicht die eigene Arbeit prüfen, und bei KI wird das schnell eng. In vielen Mittelständlern ist dieselbe Person Qualitätsmanagementbeauftragte, treibt die Digitalisierung und hat den KI-Anwendungsfall mit aufgebaut. Wer sein eigenes Werk auditiert, liefert keinen Nachweis, sondern eine Selbstauskunft. In der Praxis löst man das mit einer zweiten internen Person, mit einem Auditor aus einem anderen Standort oder durch Zukauf für genau diesen Teil des Programms.

Für die Managementbewertung gilt dasselbe Prinzip mit einer Einschränkung. Eine Sitzung, ein Protokoll, aber getrennte Tagesordnungspunkte. Jede Norm verlangt bestimmte Eingaben und bestimmte Ergebnisse, und die müssen im Protokoll auffindbar bleiben. Ein Protokoll, das alles zu einem Absatz verrührt, spart eine Stunde und kostet Sie im Audit einen Nachweis.

Konkret heißt das: Der Qualitätsteil braucht Kundenzufriedenheit, Prozessleistung und Lieferantenbewertung. Der Informationssicherheitsteil braucht Vorfälle, Wirksamkeit der Maßnahmen und den Stand der Risikobehandlung. Der KI-Teil braucht zusätzlich etwas, das in den anderen beiden nicht vorkommt: den aktuellen Bestand der eingesetzten KI-Systeme samt Änderungen seit der letzten Bewertung. Ein Modellwechsel beim Anbieter, eine neue Version, ein geänderter Systemprompt sind Änderungen am System, auch wenn niemand einen Vertrag angefasst hat. Wer diesen Tagesordnungspunkt nicht führt, merkt Veränderungen erst, wenn sie Folgen haben.

Wo die Integration wirklich bricht

Jetzt der Teil, den die Integrationsbegeisterung gern überspringt. Drei Stellen lassen sich nicht zusammenlegen, und an allen dreien sehe ich in Audits regelmäßig Befunde.

Erstens die Risikomethodik. Das Risikoverständnis der ISO/IEC 27001 ist nach innen gerichtet: Welcher Schaden entsteht der Organisation und ihren Informationswerten? Die ISO/IEC 42001 verlangt in 6.1.2 und 6.1.4 zusätzlich eine andere Blickrichtung, und Abschnitt 8.4 macht sie explizit zur Pflicht: die Folgenabschätzung für KI-Systeme, also die Auswirkungen auf Personen und Gruppen, die dem System ausgesetzt sind. Das ist keine Nuance, das ist eine andere Frage.

Ein Praxisfall aus einem internen Audit: Die Risikomethode war sauber dokumentiert, vollständig, konsistent angewendet. Sie stammte eins zu eins aus dem ISMS. Bewertet wurden ausschließlich Schäden für das Unternehmen. Die Frage, was ein Fehlurteil des Modells für die betroffene Person bedeutet, kam in der gesamten Bewertung nicht vor. Formal gepflegt, inhaltlich am Zweck vorbei.

Zweitens die Erklärung zur Anwendbarkeit. Beide Normen mit Anhang A verlangen sie, und zwar jeweils eine eigene. Der Anhang A der ISO/IEC 27001 und der Anhang A der ISO/IEC 42001 haben unterschiedliche Maßnahmen, unterschiedliche Nummerierung und unterschiedliche Zwecke. Ein häufiger Befund: Die Erklärung zur Anwendbarkeit für das ISMS liegt in dritter Fassung vor, die für das KI-Managementsystem gibt es gar nicht, weil niemand gemerkt hat, dass sie ein eigenes Dokument ist.

Drittens der Bezug zwischen Maßnahmen und Risiken. Eine Erklärung zur Anwendbarkeit ist kein Katalog zum Abhaken. Sie soll begründen, warum eine Maßnahme anwendbar ist, und diese Begründung kommt aus der Risikobewertung. Wenn beide Dokumente einzeln gut aussehen, aber keine Zeile aufeinander verweist, ist die Kette gerissen. Das sieht man nicht am einzelnen Dokument, nur im Nebeneinander.

Diese drei Befunde haben eine Gemeinsamkeit, und die ist der eigentliche Grund, warum ich sie hier aufschreibe: Jedes einzelne Dokument ist für sich in Ordnung. Die Risikomethode ist sauber. Die Erklärung zur Anwendbarkeit ist gepflegt. Die Folgenabschätzung existiert. Der Fehler liegt nie im Dokument, sondern immer im Verhältnis der Dokumente zueinander. Genau deshalb überlebt er interne Prüfungen so zuverlässig. Wer Unterlagen der Reihe nach durchgeht, findet nichts. Wer sie nebeneinanderlegt und eine Zeile von der Maßnahme zurück zum Risiko und weiter zum betroffenen Menschen zieht, findet die Lücke in zehn Minuten.

Ein vierter Punkt gehört der Vollständigkeit halber dazu, auch wenn er kein Bruch ist, sondern eine Erweiterung. Die ISO/IEC 42001 kennt Verantwortlichkeiten entlang des KI-Lebenszyklus, die es in den anderen beiden Normen so nicht gibt: Wer entscheidet über den Einsatz eines Modells, wer überwacht sein Verhalten im Betrieb, wer bringt Bedenken vor und an wen. Das lässt sich an vorhandene Rollen anhängen, aber nicht in ihnen auflösen. Wer diese Fragen mit dem Satz beantwortet, die IT sei zuständig, hat sie nicht beantwortet.

Der Geltungsbereich ist die eigentliche Arbeit

Alle drei Normen verlangen in 4.3 die Festlegung eines Geltungsbereichs. In einem integrierten System sind das drei verschiedene, und sie decken sich fast nie.

Der Qualitätsgeltungsbereich umfasst typischerweise das ganze Unternehmen. Der Informationssicherheits-Geltungsbereich ist oft enger, etwa die IT und ein bestimmter Standort. Der KI-Geltungsbereich folgt einer völlig anderen Logik: Er folgt dem KI-Lebenszyklus. Wer entwickelt, wer beschafft, wer betreibt, wer überwacht, wer entscheidet auf Basis der Ergebnisse.

Das hat eine sehr handfeste Folge, die viele überrascht. Die Auditdauer für ein KI-Managementsystem bemisst sich nach ISO/IEC 42006 nicht an der Gesamtbelegschaft, sondern an der Zahl der Personen, die im KI-Lebenszyklus tätig sind, samt ihrer Rolle. Ein Betrieb mit vierhundert Beschäftigten, bei dem zwölf Menschen mit KI-Systemen arbeiten, wird für den KI-Teil nicht wie ein Vierhundert-Personen-Unternehmen bemessen. Wer beim Angebot vergleicht, sollte danach fragen.

Umgekehrt gilt: Wer den KI-Geltungsbereich zu eng zieht, um billig davonzukommen, bekommt ein Zertifikat, das nichts über den Teil aussagt, für den sich der Kunde interessiert. Das fällt im Lieferantenaudit auf, spätestens bei der Frage, ob der Geltungsbereich überhaupt die Leistung abdeckt, die man einkauft.

Wie ich es aufsetze

Die Reihenfolge entscheidet, ob aus drei Systemen eines wird oder ob nur die Ordnerstruktur umbenannt ist.

• Zuerst die Dokumentenlenkung zusammenlegen. Ein Verfahren, ein Ort, eine Versionslogik. Ohne diesen Schritt bleibt alles Weitere Kosmetik.
• Dann ein Auditprogramm bauen, das Prozesse auditiert und Normen als Kriterien führt, nicht umgekehrt.
• Dann eine Managementbewertung terminieren, mit getrennten Tagesordnungspunkten je Norm und einem Protokoll, in dem jede Norm ihre Eingaben und Ergebnisse wiederfindet.
• Dann ein Maßnahmenregister für alle Befunde, mit einer Spalte für die Norm und einer für den Prozess.
• Erst danach die normspezifischen Teile: KI-Risikobewertung, Folgenabschätzung, Erklärung zur Anwendbarkeit je Norm.

Und noch etwas Nüchternes zum Abschluss: Sie bekommen drei Zertifikate, nicht eines. Zertifiziert wird je Norm, mit je eigenem Geltungsbereich auf dem Papier. Die Audits lassen sich in einem Termin bündeln, und das ist üblich, aber die Anforderungen jeder Norm müssen einzeln nachgewiesen werden. Wer mit der Erwartung hineingeht, ein integriertes System sei ein Drittel des Aufwands, wird enttäuscht. Realistisch sind die Einsparungen dort, wo sie in diesem Text stehen: in der Verwaltung, im Auditprogramm, in der Dokumentenlenkung. Das ist genug, um sich zu lohnen.