Dokumentierte Information nach ISO 9001: Was Abschnitt 7.5 wirklich verlangt

ISO 9001:2015 hat etwas getan, das viele Qualitätsmanager bis heute nicht ganz verarbeitet haben: Die Norm hat die Liste gestrichen. Die Ausgabe von 2008 verlangte ein Qualitätsmanagementhandbuch und sechs namentlich genannte Verfahrensanweisungen, nämlich Dokumentenlenkung, Lenkung von Aufzeichnungen, internes Audit, Lenkung fehlerhafter Produkte, Korrektur- und Vorbeugungsmaßnahmen. Seit 2015 gibt es dafür einen einzigen Begriff, dokumentierte Information, und eine einzige Vorgabe: Sie bestimmen selbst, wie viel Sie brauchen.

Genau diese Freiheit bringt Dokumentationsprojekte zum Kippen. Ohne Liste zum Abhaken entsteht entweder ein 300-seitiger Ordner, den niemand öffnet, oder ein Wiki, das der Auditor nicht auf eine Version, ein Datum und einen Namen zurückführen kann.

Offenlegung: Wir entwickeln Loopyback, ein in der EU gehostetes Werkzeug für Prozessdokumentation. Wir sind also nicht neutral. Wir sind auch keine QM-Software, und wo die Grenzen liegen, steht weiter unten.

Vorab: Ausgabe 6 steht bevor

Im ISO-Katalog steht ISO 9001 auf Stufe 60.00, "International Standard under publication", die Ausgabe 6 wird um September 2026 erwartet. Die Übergangsfrist legt die IAF erst nach der Veröffentlichung fest. Drei Jahre sind die verbreitete Annahme auf Basis früherer Revisionen, bis zur Publikation aber eine Erwartung und keine Tatsache. Bauen Sie Ihre Dokumentation deshalb jetzt nicht um: Die Richtung über alle ISO-Managementnormen hinweg geht seit Jahren zu weniger Formatvorschriften, nicht zu mehr.

Was Abschnitt 7.5 tatsächlich verlangt

7.5.1 Allgemeines. Das QM-System muss die von der Norm geforderte dokumentierte Information enthalten, dazu diejenige, die Sie selbst für die Wirksamkeit als notwendig bestimmen. Der Umfang darf sich nach Größe, Komplexität der Prozesse und Kompetenz der Personen unterscheiden.

7.5.2 Erstellen und Aktualisieren. Drei Punkte müssen angemessen sein: Kennzeichnung und Beschreibung (Titel, Datum, Verfasser, Referenznummer), Format und Medium, wobei die Norm Sprache, Softwareversion und Grafiken als Beispiele nennt, sowie Überprüfung und Genehmigung hinsichtlich Eignung und Angemessenheit.

7.5.3.1. Dokumentierte Information muss dort und dann verfügbar und geeignet sein, wo und wann sie benötigt wird, und angemessen geschützt sein, etwa vor Verlust der Vertraulichkeit oder der Integrität.

7.5.3.2 ist die operative Liste der Dokumentenlenkung: Verteilung, Zugriff, Auffindung und Verwendung, Ablage und Erhaltung einschließlich Lesbarkeit, Überwachung von Änderungen, also Versionslenkung, sowie Aufbewahrung und Verfügung.

Zwei weitere Abschnitte richten im Audit den meisten Schaden an. 8.5.1 a) verlangt, dass dokumentierte Information zu den auszuführenden Tätigkeiten unter beherrschten Bedingungen verfügbar ist, also am Arbeitsplatz und nicht in einem Ordner, den jemand auf Nachfrage heraussucht. Und 7.2 d) verlangt aufbewahrte dokumentierte Information als Nachweis der Kompetenz. Daran zerbricht das Argument "geschult haben wir, aufgeschrieben nur nicht".

Die Formate, gemessen am Normtext

Die Zeile zum sichtbaren Veralten wird unterschätzt. Eine geschriebene Verfahrensanweisung altert unsichtbar: Zwei Jahre nach dem ERP-Update sind die Sätze immer noch einwandfrei. Eine Anleitung mit Screenshots fällt laut aus, weil das Bild nicht mehr zum Bildschirm passt. Für eine Nachweisakte ist lautes Scheitern ein Vorteil. Wie weit Bildmaterial trägt, steht in Bildschirmaufnahmen in Anleitungen.

Die Ebene, die ISO nicht abdeckt

ISO 9001 sagt zur DSGVO nichts. Sobald Ihre Arbeitsanweisungen aber Screenshots echter Systeme enthalten, ist Ihr QM-System eine Verarbeitung personenbezogener Daten, und zwei Pflichten treffen sich auf nützliche Weise.

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung. Ein Screenshot, der zeigen soll, wo die Schaltfläche liegt, braucht darin nicht Name, Anschrift und Bestellhistorie eines Kunden. Automatische Schwärzung ist hier keine Bequemlichkeit, sondern das, was den Screenshot verhältnismäßig zu seinem Zweck macht.

Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung, Abschnitt 7.5.3.2 d) verlangt Aufbewahrung und Verfügung. Das ist dieselbe Disziplin, zweimal formuliert, und die meisten Organisationen setzen keine von beiden um. Schreiben Sie eine Regel, die beides erfüllt. Wie lange Sie aufbewahren müssen, folgt nicht aus ISO 9001, sondern aus Ihren handels-, steuer- und branchenrechtlichen Pflichten und aus Verträgen. Lassen Sie sich die konkreten Fristen von Ihrer Rechtsabteilung bestätigen und halten Sie sie dann schriftlich fest.

Dann die Frage, die kein Zertifizierungsauditor stellt, Ihr Datenschutzbeauftragter aber stellen sollte: Wo liegt das eigentlich? Eine Screenshot-Bibliothek Ihrer Produktivsysteme ist eine detaillierte Landkarte Ihres Unternehmens. Nach Art. 28 DSGVO brauchen Sie einen Auftragsverarbeitungsvertrag und haben Anspruch auf die Liste der Unterauftragsverarbeiter. Fragen Sie jeden Anbieter, uns eingeschlossen, drei Dinge: in welchem Land die Speicherregion liegt, wer die Unterauftragsverarbeiter sind, und was mit Ihren Anleitungen passiert, wenn Sie aufhören zu zahlen. Ausweichende Antworten sind selbst die Antwort. Ausführlicher steht das im Vergleich europäischer SOP- und Dokumentationssoftware.

Sprache

ISO 9001 schreibt keine Sprache vor. Sprache taucht nur in 7.5.2 b) als Beispiel für das Format auf, und ISO/IEC 17021-1 behandelt sie als Frage der Zusammensetzung des Auditteams. Dolmetscher sind zulässig, dürfen das Audit aber nicht beeinflussen.

Das Arbeitsrecht ist eine andere Baustelle. Wo eine Anleitung Beschäftigte verpflichtet oder als Unterweisung dient, muss sie verständlich sein. In mehrsprachigen Teams läuft das auf Übersetzungen hinaus, siehe mehrsprachige SOPs für europäische Teams.

Häufige Fehler

Den Dokumentensatz von 2008 nachbauen. Sechs Verfahrensanweisungen zu pflegen, weil die Norm sie früher forderte, ist Papierarbeit für eine seit elf Jahren zurückgezogene Anforderung.

Menge mit Lenkung verwechseln. Auditoren zählen keine Seiten. Eine aktuelle Anleitung mit zwölf Schritten schlägt eine 40-seitige Verfahrensanweisung, die zwei Oberflächenversionen hinterherhinkt.

Keine Aufbewahrungsregel. 7.5.3.2 d) ist der am häufigsten übersprungene Punkt und zugleich der mit Folgen im Datenschutz.

Screenshots mit echten Personendaten. Kundendatensätze in einer abteilungsweit verteilten Arbeitsanweisung sind ein selbst geschaffenes Minimierungsproblem.

Genehmigung ohne Spur. "Der QM-Beauftragte hat das geprüft", ohne Datum und ohne Version, ist keine Überprüfung und Genehmigung nach 7.5.2 c).

Den Wunschprozess dokumentieren. Wer aufzeichnet, was tatsächlich getan wird, findet den undokumentierten Workaround. Wer aus dem Gedächtnis schreibt, verdeckt ihn, bis der Auditor darüber stolpert.

Was Loopyback nicht leistet

Wir zeichnen Arbeitsabläufe auf und machen daraus versionierte Anleitungen mit Screenshots und automatischer Schwärzung personenbezogener Daten, exportierbar nach Markdown, PDF und HTML. Das deckt für Arbeitsanweisungen einen guten Teil von 7.5.2 und 7.5.3.2 ab.

Wir sind kein eQMS. Kein Fehlerregister, kein CAPA-Workflow, kein Modul für die Managementbewertung, kein Auditprogramm, keine Lieferantenbewertung, keine elektronische Signatur. Wer ein Dokumentationswerkzeug als vollständige ISO-9001-Lösung verkauft, verspricht zu viel. Loopyback steht neben Ihrer QM-Plattform als die Schicht, die Arbeitsanweisungen erzeugt.

FAQ

Welche Dokumente sind für ISO 9001 vorgeschrieben?

Dokumentierte Information wird an bestimmten Stellen gefordert, unter anderem für den Anwendungsbereich des QM-Systems, die Qualitätspolitik, die Qualitätsziele, Nachweise der Kompetenz, Ergebnisse von Überwachung und Messung, interne Audits, die Managementbewertung sowie Nichtkonformitäten und Korrekturmaßnahmen. Nicht gefordert sind ein Qualitätsmanagementhandbuch und die sechs Verfahrensanweisungen von 2008.

Zählen Screenshots als dokumentierte Information?

Ja. 7.5.2 b) nennt Grafiken als Teil des Formats und lässt das Medium offen. Fließtext ist nirgends gefordert. Entscheidend sind Kennzeichnung, Genehmigung, Versionslenkung und Verfügbarkeit.

Dürfen wir alles auf Englisch führen?

Für ISO-Zwecke ja. Arbeitsrechtlich nicht immer: Unterlagen mit Pflichtcharakter müssen verständlich sein. Trennen Sie technische Runbooks von diesen Dokumenten und übersetzen Sie die zweite Gruppe.

Wie lange bewahren wir alte Versionen auf?

ISO überlässt das Ihnen, Sie müssen also entscheiden und es aufschreiben. Leiten Sie die Frist aus der längsten einschlägigen gesetzlichen oder vertraglichen Pflicht ab und wenden Sie sie einheitlich an. Enthält eine Anleitung personenbezogene Daten in Screenshots, setzt die Speicherbegrenzung der DSGVO eine Obergrenze, keine Untergrenze.

---

Wenn Sie sehen wollen, wie versionierte und geschwärzte Anleitungen für Ihre eigenen Prozesse aussehen, reicht der kostenlose Tarif zum Ausprobieren. Bezahlte Tarife beginnen bei 16 Euro pro Monat. Details unter Preise.