Allg. Fragen zu Zertifizierung

Hallo,

ich schreibe meine Bachelor Arbeit über die Zertifizierungsprozesse bei KMU im IT-Sektor und habe folgende Fragen:

  1. Ist es nötig (a) eine komplette Firma zu zertifizieren oder (b) reicht es auch einen bestimmten SW-Entwicklungszyklus bei einem bestimmten Produkt der Firma zu zertifizieren? Wo liegen die Vor- und Nachteile?

  2. Ist es möglich unterschiedliche Normen zu koppeln? Ist gibt ja Normen (z.B. ISO9000), die eher allgemeiner ausgelegt sind und es gibt einige die dann spezifisch für bestimmte Branchen gelten. Macht es Sinn sich dann eher allgemein zu zertifizieren, um dadurch bei den speziellen Normen Zeit und Kosten zu sparen.

Vielen Dank

Hallo Freak,
zu Frage 1 kann ich Dir nicht pauschaliert antworten, dies hängt von der Art der Software ab, FiBu Systeme z.B. müssen ohnehin zertifiziert werde, und zwar einzeln, um den Anforderungen einer regelkonformen Buchhaltung zu genügen, dies geschieht i.d.R. durch Testat einer Wirtschaftsprüfungsgesellschaft, andere, technische Lösungen im Bereich der IT kan man isoliert durch den VDI abnehmen lassen, sind aber in beiden Fällen sündhaft teure Prozesse.

Zu der 2. Frage ist es immer grundsätzlich wichtig sehr klar im Vorwege die tatsächliche Unternehmensphilosophie zu kennen und nachhaltig zu definieren. Ist die jeweilige Zertifizierung angestrebt weil man das Zertifikat braucht (weil z.B. mögliche Auftraggeber dies schlicht als Voraussetzung zur Auftragsvergabe haben) oder möchte man die hinter dem jeweiligen Zertifizierungsprozess stehende Idee tatsächlich leben, heißt, möchte Qualitätsmanagement leben, möchte ich ein Umweltmanagement leben, oder möchte ich nur dokumentieren, und den sich potententiell ergebenden Verbesserungsprozess ausser Acht lassen.
Grundsätzlich kannst Du Normen nicht kombinieren, heißt mit Zertifizierung nach XY hast Du auch automatisch XYZ erfüllt.
Ich empfehle immer zunächst eher allgemein zu zertifizieren, da hier zunächst einmal ein Überblick und Erkennen sowie Dokumentieren des IST Zustandes des Unternehmens erfolgt. Viele verheben sich bei der Zielstellung gleich im ersten Schritt gleich den ganz grossen Schritt zu machen. Du musst Dir klar machen, dass im Rahmen des Audits nur das Handbuch und die Verfahrensanweisungen geprüft und gelesen werden dürfen. Wenn ich also feststelle ddas Abteilung / Prozess 4711 nur Mist macht, kann ich dies in nicht einsehbaren Arbeitsanweisungen dokumentieren und mich dem Problem später und kanalisiert widmen.
So viel zunächst, die Berlin Wahl wird grad bekannt.
Martin

  1. Ist es nötig (a) eine komplette Firma zu zertifizieren oder
    (b) reicht es auch einen bestimmten SW-Entwicklungszyklus bei :einem bestimmten Produkt der Firma zu zertifizieren? Wo liegen die Vor- und Nachteile?

Bei der ISO 9001 geht es um das managementsystem der Firma. Nicht um die Zertifizierung von einem produkt.

  1. Ist es möglich unterschiedliche Normen zu koppeln?

Sie sollten die Umsetzung der Normen wie folgt vornehmen.

  • beschreiben Sie die Prozesse der Firma
  • Dann schauen sie wo die Normforderungen umgesetzt werden können. Sie können in der praxis nicht die Normen umsetzen. Das wird in der Firma keiner verstehen

Vielen Dank

Hallo,

zu diesem Thema kann ich leider nichts beitragen.

VG

Patrick

Hallo,
erst müsste geklärt werden, was denn nun geregelt und zertifiziert werden soll. Gerade im Softwarebereich fängt es ja schon bei den Programmierrichtlinien an.
D.h. es muss eine Analyse(incl. Normenrecherche) gemacht werden, was den das Unternehmen braucht.

Ein Systemaudit (wie nach IS0 9001)umfasst immer die komplette Firma, produktspezifischere Audits (z.b. Atex oder MRL) befassen sich eher mit einzelnen Produkten.
Für die produktspezifischen Audits ist es aber immer hilfreich schon ein System nach 9001 aufgebaut zu haben, weil sich viele speziellen Normen darauf beziehen. D.h. das Unternehmen sollte auf jeden Fall ein System nach 9001 aufbauen (ob mit oder ohne externes Zertifikat), und sich dann erst den spezielleren Normen widmen.
Viele Grüße
S.Müller

Hallo,

  1. Es können grundsätzlich nur komplette Managementsysteme (Qualität, Umwelt, Arbeitsschutz sowie branchenspezifische QM-Systeme) auf der Basis von Normen (z.B. ISO 9001, ISO 14001, OHSAS 18001, usw.)zertifiziert werden.

  2. Die ISO/IEC 20000 ist eine international anerkannte Norm zum IT-Service-Management, in dem die Anforderungen für ein professionelles IT-Service-Management dokumentiert sind.

Die internationale Norm ISO/IEC 27001 Information technology – Security techniques – Information security management systems – Requirements spezifiziert die Anforderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung der IT-Risiken innerhalb der gesamten Organisation.

Eine Kopplung von Normen ist im Rahmen eines Integrierten Managementsystems möglich, z.B.: Qualität, Umweltschutz und Arbeitssicherheit. Branchenspezifische Qualitätsnormen und Spezifikationen bauen vielfach auf der ISO 9001 auf und enthalten zusätzliche Anforderungen.

Dies funktioneiert jedoch nicht bei den speziellen IT-Normen.

Um die Fragen genauer beantworten zu können, würde ich weitere Detailinformationen benötigen.
Am besten einfach unter folgender Email nochmals melden:
[email protected]

Hallo,

  1. Es ist nicht nötig eine komplette Firma zu zertifizieren. Wie und was da geht, findet man im NACE-Code bzw. EAC-Code Katalog. Bei der Zertifizierung werden dann die Teile, die ausgeschlossen werden benannt und auf dem Zertifikat niedergeschrieben.
    Nachteile: Es ist eben nur ein Teil zertifiziert und auch nur mit diesem Teil kann dann z.Bsp. an Ausschreibungen teilgenommen werden.

  2. Es kommt immer darauf an, was möchte ich mit einer Zertifizierung erreichen. Möchte ich mich allgemein halten oder möchte ich speziell sagen, was in meiner Firma gut ist.
    Bsp. Ausschreibungen in der Automobilbranche sind speziell. Ausschreibungen in AöR sind eher allgemein.

Ich hoffe weitergeholfen zu haben.

Hallo,
a) man kann auch einzelne Niederlassungen und dort einzelne Bereiche zertifizieren lassen. Produktzertifizierungen sind für QM unüblich, aber bei Sicherheitsstandards (z.B. Common Criteria 4+) gang und gebe.
Vor- und Machteile: Wie das Wort QM ja schon aussagt, werden bei QM-Zertifizierungen (ISO 9001, TS 16949 etc.) ganze Managementsysteme zertifiziert, dort macht es also keinen Sinn, produktspezifisch vorzugehen.

Normen gemeinsam zertifizieren lassen ist auch üblich, z.B. ISO 9001 mit 14000, HACCP und / oder AZWV. Schwieriger ist es eher, einen Zertifizierer zu finden, der alle Normen im Repertoire hat…

Eine interessante IT-Firma, die ihre Produkte nach den Sicherheitsstandards zertifizieren lässt ist Openlimit, Anbieter der AusweisApp.

Freundliche Grüße
Julia Buettner
(bin auch auf XING)

Hallo,

hmmm, merkwürdig… Ich habe damals keine email zu deiner Anfrage bekommen. Jetzt als ich mal auf www reinschaue, sehe ich plötzlich deine unbeantwortete Anfrage.

Ich antworte jetzt mal trotzdem, auch wenn sich Deine Anfrage wohl erledigt haben sollte…

Sorry, in diesem Bereich kann ich Dir nicht weiterhelfen.

gruß
Oliwer