Q7 Managementbewertung

Für: V, IA
Quelle: 9.3 von ISO 9001:2026, ISO 14001:2026, ISO 45001:2018, ISO/IEC 27001:2022 und ISO/IEC 42001:2023.

Die oberste Leitung muss das System in geplanten Abständen bewerten. Die Eingaben werden hier je Norm aufgeführt. Eine Eingabe, die in einer Liste fehlt, wird nicht aus einer anderen Norm ergänzt.

ISO 9001:2026. 9.3.1 verlangt die Bewertung, um fortdauernde Eignung, Angemessenheit, Wirksamkeit und die Ausrichtung an der strategischen Richtung sicherzustellen. Die Eingaben müssen einschließen: den Status von Maßnahmen aus früheren Bewertungen; Änderungen externer und interner Themen; Änderungen von Bedürfnissen und Erwartungen interessierter Parteien; Informationen über die Leistung, einschließlich Trends bei Nichtkonformitäten und Korrekturmaßnahmen, bei Überwachungs- und Messergebnissen, bei Auditergebnissen, bei Kundenzufriedenheit und Rückmeldung relevanter interessierter Parteien, beim Ausmaß, in dem Qualitätsziele erreicht wurden, bei Prozessleistung und Konformität von Produkten und Dienstleistungen, und bei der Leistung externer Anbieter; Verbesserungsmöglichkeiten; die Angemessenheit der Ressourcen; die Wirksamkeit der Maßnahmen zu Risiken nach 6.1.2; die Wirksamkeit der Maßnahmen zu Chancen nach 6.1.3. Risiken und Chancen sind zwei Eingaben. Die Ergebnisse müssen Entscheidungen enthalten zu Möglichkeiten der fortlaufenden Verbesserung und zu jedem Bedarf an Änderungen des Systems und an Ressourcen. A.9.3 sagt als Hinweis, Trends bei Auditergebnissen meinten Audits der ersten, zweiten und dritten Seite. Die Ausführung steht in 9001-23.

ISO 14001:2026. 9.3.1 nennt Eignung, Angemessenheit und Wirksamkeit. Die Ausrichtung an der strategischen Richtung steht in diesem Zweck-Satz nicht. Die Eingaben müssen einschließen: den Status früherer Maßnahmen; Änderungen bei Themen, bei Bedürfnissen und Erwartungen einschließlich bindender Verpflichtungen, bei den bedeutenden Umweltaspekten und bei Risiken und Chancen; das Ausmaß, in dem Umweltziele erreicht wurden; Informationen über die Umweltleistung, einschließlich Trends bei Nichtkonformitäten und Korrekturmaßnahmen, bei Überwachung und Messung, bei der Erfüllung der bindenden Verpflichtungen und bei Auditergebnissen; die Angemessenheit der Ressourcen; relevante Mitteilungen interessierter Parteien, einschließlich Beschwerden; Möglichkeiten der fortlaufenden Verbesserung. Die Ergebnisse müssen einschließen: Schlussfolgerungen zur fortdauernden Eignung, Angemessenheit und Wirksamkeit; Entscheidungen zu Möglichkeiten der fortlaufenden Verbesserung; Entscheidungen zu jedem Änderungsbedarf, einschließlich Ressourcen; Maßnahmen, falls nötig, wenn Umweltziele nicht erreicht wurden; Möglichkeiten, die Integration mit anderen Geschäftsprozessen zu verbessern, falls nötig; jede Auswirkung auf die strategische Ausrichtung. A.9.3 sagt als Hinweis, die Themen müssten nicht auf einmal behandelt werden und die Bewertung müsse keine eigene Veranstaltung sein. Die Ausführung steht in 14001-16.

ISO 45001:2018. 9.3 verlangt die Bewertung auf Eignung, Angemessenheit und Wirksamkeit. Die Bewertung muss behandeln: den Status früherer Maßnahmen; Veränderungen externer und interner Themen, einschließlich Erfordernisse und Erwartungen, rechtliche Verpflichtungen und andere Anforderungen, Risiken und Chancen; das Ausmaß, in dem die SGA-Politik erfüllt und die SGA-Ziele erreicht wurden; Informationen über die SGA-Leistung, einschließlich Entwicklungen bei Vorfällen, Nichtkonformitäten, Korrekturmaßnahmen und fortlaufender Verbesserung, bei Überwachung und Messung, bei der Compliance-Bewertung, bei Auditergebnissen, bei Konsultation und Beteiligung und bei Risiken und Chancen; die Angemessenheit der Ressourcen; relevante Kommunikation mit interessierten Parteien; Möglichkeiten zur fortlaufenden Verbesserung. Vorfälle, die Compliance-Bewertung sowie Konsultation und Beteiligung stehen in dieser Liste, weil 9.3 sie nennt. Die Ergebnisse müssen Entscheidungen enthalten zur fortdauernden Eignung, Angemessenheit und Wirksamkeit beim Erreichen der beabsichtigten Ergebnisse, zu Chancen fortlaufender Verbesserung, zu jeglichem Änderungsbedarf, zu erforderlichen Ressourcen, zu Maßnahmen falls erforderlich, zu Möglichkeiten der besseren Integration und zu Auswirkungen auf die strategische Ausrichtung. Die oberste Leitung muss die relevanten Ergebnisse den Beschäftigten und, wo vorhanden, ihren Vertretern mitteilen. A.9.3 sagt im englischen Text, die Themen „need not“ alle gleichzeitig behandelt werden. Das ist Anleitung. Die Ausführung steht in 45001-15.

ISO/IEC 27001:2022. 9.3.1 verlangt die Bewertung auf fortdauernde Eignung, Angemessenheit und Wirksamkeit. Eine Ausrichtung an der strategischen Richtung steht in 9.3.1 nicht. Die Eingaben sind: Status früherer Maßnahmen; Änderungen der Themen; Änderungen der Bedürfnisse und Erwartungen; Rückmeldungen zur Informationssicherheitsleistung, einschließlich Trends bei Nichtkonformitäten und Korrekturmaßnahmen, bei Überwachung und Messung, bei Auditergebnissen und bei der Erfüllung der Informationssicherheitsziele; Rückmeldungen interessierter Parteien; Ergebnisse der Risikobeurteilung und Status des Risikobehandlungsplans; Chancen zur fortlaufenden Verbesserung. Vorfälle, die Erklärung zur Anwendbarkeit und eine gesonderte Bewertung der Einhaltung rechtlicher Anforderungen stehen in dieser Liste nicht. Der Status des Behandlungsplans ist Punkt f. Die Ergebnisse müssen Entscheidungen zu Chancen fortlaufender Verbesserung und zu etwaigem Änderungsbedarf am System einschließen. Eine Ressourcen-Zeile und eine Pflicht, die Ergebnisse an das gesamte Personal zu kommunizieren, stehen in 9.3.3 nicht. Die Ausführung steht in 27001-10.

ISO/IEC 42001:2023. 9.3.1 verlangt die Bewertung auf fortdauernde Eignung, Angemessenheit und Wirksamkeit. Die Eingaben sind: Status von Maßnahmen vorheriger Bewertungen; Änderungen externer und interner Themen; Änderungen von Bedürfnissen und Erwartungen interessierter Parteien; Informationen über die Leistung, einschließlich Entwicklungen bei Nichtkonformitäten und Korrekturmaßnahmen, bei Überwachungs- und Messergebnissen und bei Auditergebnissen; Möglichkeiten zur fortlaufenden Verbesserung. Vorfälle, Folgenabschätzungen und die Erklärung zur Anwendbarkeit nennt diese Liste nicht. Ergebnisse der Risikobeurteilung, der Status eines Behandlungsplans, die Erfüllung der Ziele, Rückmeldungen interessierter Parteien und die Angemessenheit der Ressourcen nennt sie ebenfalls nicht. Die Ergebnisse müssen Entscheidungen zu Möglichkeiten fortlaufender Verbesserung und zu jedem Änderungsbedarf am System enthalten. Die Ausführung steht in 42001-10.

Dokumentierte Information: In allen fünf Normen muss dokumentierte Information als Nachweis der Ergebnisse der Managementbewertungen verfügbar sein.

Nicht in diesem Text: eine Sitzungsvorlage, die fünf Listen in eine Tabelle zieht, und die Aussage, ein Vorfall oder eine Erklärung zur Anwendbarkeit sei eine Eingabe, weil eine andere Norm sie nennt.