Nichtkonformität (NC).

Was eine Nichtkonformität tatsächlich ist

Eine Nichtkonformität dokumentiert eine Lücke zwischen dem, was eine Anforderung verlangt, und dem, was ein Auditor in der Praxis vorfindet. Die Anforderung kann aus der Norm selbst stammen (zum Beispiel aus einem Abschnitt der ISO/IEC 27001), aus einer Maßnahme, die Sie in Ihrer Erklärung zur Anwendbarkeit als anwendbar erklärt haben, oder aus Ihrer eigenen dokumentierten Richtlinie. Wenn Sie es niedergeschrieben und sich dazu verpflichtet haben, kann ein Auditor Sie daran festhalten. Genau dieser letzte Punkt überrascht Teams: zu viel in einer Richtlinie zu versprechen, schafft Nichtkonformitäten, die die Norm allein nie erzeugt hätte.

Eine Nichtkonformität ist nicht dasselbe wie eine Beobachtung oder eine Verbesserungsmöglichkeit. Eine Beobachtung weist auf etwas hin, das der Auditor festhalten möchte, ohne zu behaupten, dass eine Anforderung verletzt wird. Eine Nichtkonformität ist eine eindeutige Feststellung, dass eine Anforderung nicht erfüllt ist, gestützt auf objektive Nachweise wie eine Aufzeichnung, ein Interview oder ein fehlendes Artefakt. Die Unterscheidung ist wichtig, weil nur Nichtkonformitäten eine formale Reaktion erzwingen.

Schwerwiegend gegenüber geringfügig, und wie geringfügige eskalieren

Auditoren bewerten Feststellungen nach ihrer Auswirkung auf das Managementsystem, nicht danach, wie sehr sie sie ärgern. Eine schwerwiegende Nichtkonformität bedeutet, dass eine Anforderung grundlegend fehlt oder dass ein Versagen so weit verbreitet ist, dass es das Vertrauen in das Funktionieren des Systems untergräbt. Schwerwiegende gefährden die Zertifizierungsentscheidung und müssen in der Regel geschlossen werden, bevor die Zertifizierung oder Rezertifizierung fortgesetzt werden kann. Eine geringfügige Nichtkonformität ist ein vereinzelter Lapsus in einem ansonsten funktionierenden Prozess: eine einzelne fehlende Überprüfung, eine Aufzeichnung, die nicht unterschrieben wurde.

Die Falle besteht darin, geringfügige als harmlos zu behandeln. Dieselbe geringfügige Feststellung im selben Bereich, Audit für Audit, sagt dem Auditor, dass Ihre Korrekturmaßnahme die Grundursache nie behoben hat. Beim nächsten Überwachungsaudit kann dieses Muster als schwerwiegend neu eingestuft werden, denn eine Maßnahme, die immer wieder auf dieselbe Weise versagt, funktioniert in Wirklichkeit nicht.

Was Praktiker tatsächlich damit machen

Eine Nichtkonformität gut zu schließen ist ein Prozess, keine Entschuldigung. Das anerkannte Muster lautet Korrektur, dann Korrekturmaßnahme, dann Wirksamkeitsverifizierung. Die Korrektur ist die unmittelbare Behebung des konkreten Falls, den der Auditor gefunden hat. Die Korrekturmaßnahme ist der tiefergehende Schritt: eine Grundursachenanalyse, die erklärt, warum die Lücke bestand, und eine Änderung, die ihr erneutes Auftreten verhindert. Die Verifizierung bestätigt, mit Nachweisen und nachdem genügend Zeit vergangen ist, dass die Änderung tatsächlich Bestand hatte.

Jeder dieser Schritte gehört in einen Korrekturmaßnahmenplan mit einem Verantwortlichen und einer realistischen Frist, der der Auditor zustimmt. Die Nachweise, die Sie einreichen, sollten es jemandem, der nicht im Raum war, ermöglichen, zu rekonstruieren, was geschehen ist, und zu bestätigen, dass es geschlossen ist. Hier zahlt sich Ehrlichkeit aus: ein Auditor sieht lieber eine kleine Anzahl gut nachverfolgter Korrekturmaßnahmen als einen sauber wirkenden Bericht, der einer Prüfung nicht standhält.