Die Managementbewertung: das Management Review ohne Alibi-Charakter
Die Managementbewertung ist Pflicht in allen ISO-Normen und meist das formalste Dokument im System: ein Protokoll, rückdatiert am Tag vor dem Audit. Gedacht ist sie als die wichtigste Sitzung des Jahres über das System. So bekommt sie ihren Sinn zurück.
Was sie wirklich ist
Einmal jährlich (besser halbjährlich) betrachtet die Führung das Managementsystem als Geschäftsaktivum: was es gebracht hat, wo es schmerzt, wohin investieren. Kein Sicherheitsbericht «für den Chef» — sondern Entscheidungen des Chefs über die Sicherheit.
Die Eingaben (Agenda)
- Status der Entscheidungen der letzten Bewertung;
- Kontextänderungen: neue Märkte, Kunden, Regulierung (NIS2, DORA, AI Act);
- Kennzahlen und Zielerreichung;
- Auditergebnisse, Incidents, Status der Korrekturmaßnahmen;
- Risiken und Chancen, Kundenfeedback;
- Ressourcenausstattung.
Der Output: Entscheidungen, nicht «zur Kenntnis genommen»
Ein gutes Protokoll ist konkret: «MDM-Budget bis Q2 freigeben», «externen Auditor für interne Audits engagieren», «Ziel X anpassen». Jede Entscheidung mit Verantwortlichem und Frist. Genau das suche ich im Audit: Entscheidet die Führung auf Datenbasis?
Das Format für kleine Firmen
90 Minuten, ein vorbereitetes Kennzahlen-Dashboard, 5–7 Folien, ein lebendes Einseiten-Protokoll. Kombinierbar mit dem Quartals-Business-Review — solange die Normpunkte abgedeckt und die Entscheidungen fixiert sind.
Lesen Sie auch
Autor — Kyrylo Proskurnya, leitender ISO-Auditor und internationaler Experte für Managementsysteme. Ich führe Zertifizierungs- und interne Audits nach ISO 27001, ISO 9001, ISO 27701 und ISO 42001 für Unternehmen in der DACH-Region, Europa und den USA durch. Über mich · Beratung anfragen