Externer QM-Beauftragter für den Mittelstand: Bestellung, Kosten, Audit-Pfad

Die ISO 9001:2015 hat die zwingende Benennung eines Qualitätsmanagementbeauftragten in Abschnitt 5.3 formal aufgehoben, der Standard verlangt jedoch klar zugewiesene Verantwortlichkeiten für das Qualitätsmanagementsystem mit dokumentiertem Nachweis. In der Audit-Praxis erwarten Zertifizierer, Industriekunden und Lieferantenfragebögen weiterhin eine benannte Person mit Bestellurkunde, Stellenbeschreibung und direkter Berichtslinie zur Geschäftsführung. Für mittelständische Unternehmen zwischen 50 und 500 Beschäftigten ist diese Erwartung mit eigenen Ressourcen oft kaum darstellbar, weil die Qualifikation fehlt, die Kapazität neben dem operativen Tagesgeschäft nicht reicht oder qualifizierte Bewerber auf dem Arbeitsmarkt rar sind. Der Audit-Druck steigt zusätzlich durch Kundenanforderungen aus der Automobilzulieferung, dem Maschinenbau und der Medizintechnik.

Ein externer QM-Beauftragter schließt diese Lücke, ohne dass ein internes Vollzeit-Mandat aufgebaut werden muss. Sie erhalten eine namentlich bestellte Person, eine dokumentierte Berichtslinie, einen reproduzierbaren Audit-Pfad inklusive Vorlagen und einen Workspace, in dem alle Nachweise versioniert liegen. Dieser Beitrag erklärt, wann das Modell trägt, welche Pflichten beim externen QMB liegen, welche Kostenrahmen üblich sind, welche Stolperfallen die Audit-Praxis kennt, wie sich der externe QMB in ein integriertes Managementsystem einfügt und wie CIVAC als Compliance-Plattform und Officer-as-a-Service die Bestellung operativ absichert. Bestellurkunde, unterschrieben, abgelegt, belegbar. Sie lesen sechs Praxisabschnitte, ein Kostenkapitel, zwei Audit-Abschnitte und einen FAQ-Block mit konkreten Antworten.

Die Revision der ISO 9001 im Jahr 2015 hat die Pflicht zur Benennung eines Beauftragten der obersten Leitung formal gestrichen. Abschnitt 5.3 spricht heute von Rollen, Verantwortlichkeiten und Befugnissen, die durch die oberste Leitung zugewiesen, kommuniziert und im Unternehmen verstanden werden müssen. Das Qualitätsmanagementsystem darf damit theoretisch ohne benannten QMB betrieben werden, sofern die geforderten Aufgaben nachweisbar an Personen oder Funktionen zugeordnet sind. Diese formale Öffnung wird in der Praxis selten ausgenutzt.

In der Audit-Praxis sieht die Lage anders aus. Zertifizierer wie TÜV, DEKRA oder DQS prüfen im Stage-1-Audit die Zuordnung der Verantwortlichkeiten und erwarten eine eindeutige Ansprechperson für das QM-System. Lieferantenfragebögen großer Industriekunden enthalten weiterhin das Feld QMB Name. Wer hier keine Person nennen kann, riskiert Nachfragen, Auditverlängerungen und im Lieferantenmanagement Abwertungen, die sich in B-Lieferanten-Status oder Vertragsverlust übersetzen können. Der externe Qualitätsmanagementbeauftragte bedient genau diese operative Erwartung und liefert die in 5.3, 7.1.6, 9.2 und 9.3 geforderten Nachweise auditfest. Aufgaben umfassen Lenkung dokumentierter Information, interne Audits, Managementbewertung und die Schnittstelle zum externen Zertifizierer. Sie bleiben als oberste Leitung verantwortlich, der QMB übernimmt die operative Steuerung und Dokumentation. Diese Trennung muss in Bestellurkunde und Stellenbeschreibung sauber abgegrenzt sein. Ergänzend gilt die DIN ISO 19011:2018 als Leitfaden zum Auditieren von Managementsystemen, die für die Auditprogramm-Planung herangezogen wird. Der externe QMB orientiert sich an diesem Leitfaden und an branchenspezifischen Ergänzungsnormen wie IATF 16949 für die Automobilzulieferung oder ISO 13485 für Medizinprodukte. Diese Branchennormen verschärfen die Anforderungen an Qualifikation und Dokumentation und müssen im Mandat berücksichtigt sein.

Im Mittelstand fehlen drei Dinge gleichzeitig: Personal mit ISO-Qualifikation, Zeit für ein paralleles Mandat und Audit-Routine. Eine interne Lösung führt häufig dazu, dass der QMB-Hut zusätzlich zur Produktions- oder Vertriebsleitung getragen wird. Das funktioniert, solange kein Audit ansteht. Wenn der externe Zertifizierer Termine vorschlägt, kollidieren operative Pflichten mit der Vorbereitung von Managementbewertung, Auditprogramm und Maßnahmen aus der letzten Überwachung. Die Audit-Vorbereitung wird in den Abendstunden erledigt oder verschoben, die Qualität sinkt.

Der zweite Grund ist Qualifikation. ISO 9001 verlangt in 7.2 dokumentierte Kompetenz für jede Rolle, die die QM-Leistung beeinflusst. Ein interner Mitarbeiter ohne formale Auditorenausbildung kann diese Anforderung nur über aufwendige Schulungspfade erfüllen, üblich sind 80 bis 120 Stunden Schulung plus jährliche Auffrischung. Externe QM-Beauftragte bringen die Qualifikation bereits mit, dokumentiert über Zertifikate, Auditerfahrung und Referenzen aus vergleichbaren Mandaten. Der dritte Grund ist die Trennung von operativer Verantwortung und QM-Kontrolle. Wer Produktion leitet und gleichzeitig die Wirksamkeit der eigenen Prozesse auditiert, erzeugt Rollenkonflikte, die im Audit aufschlagen. Ein externer QMB liefert die geforderte Unabhängigkeit nach 9.2.2 c. CIVAC strukturiert diese Trennung über eine Bestellurkunde mit klarer Berichtslinie an die Geschäftsführung und einen Workspace, in dem Audits, Maßnahmen und Nachweise getrennt von operativen Systemen geführt werden. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Hinzu kommt ein vierter Grund, der seltener offen ausgesprochen wird: die Personalfluktuation. Interne QMB-Stellen sind in mittelständischen Unternehmen oft unbesetzt, weil qualifizierte Bewerber rar sind und der Markt hart umkämpft ist. Ein externes Mandat ist vertraglich abgesichert und nicht von der Kündigung eines einzelnen Mitarbeiters abhängig.

Der Aufgabenkatalog des externen Qualitätsmanagementbeauftragten orientiert sich an den ISO-9001-Kapiteln 4 bis 10 und an der Bestellurkunde. In der Praxis bündeln sich die Pflichten in sieben Blöcken: Pflege der QM-Dokumentation einschließlich Handbuch und Verfahrensanweisungen, Planung und Durchführung des internen Auditprogramms nach 9.2, Vorbereitung und Moderation der Managementbewertung nach 9.3, Steuerung von Korrektur- und Vorbeugungsmaßnahmen nach 10.1 und 10.2, Schnittstellenfunktion zum externen Zertifizierer, Auswertung von Kundenrückmeldungen und Reklamationen sowie regelmäßige Berichterstattung an die oberste Leitung mit Kennzahlen und Trends.

Jeder dieser Blöcke erzeugt Artefakte: Auditprogramm, Auditberichte, Maßnahmenliste, Managementreview-Protokoll, Lieferantenbewertung, Reklamationsregister, Schulungsmatrix. Im CIVAC-Workspace sind dafür Vorlagen hinterlegt, die das Datum, die verantwortliche Person und den Bezug zur ISO-Anforderung mitführen. Wenn der externe Zertifizierer im Überwachungsaudit nach dem Stand der Maßnahmen fragt, liegt der Nachweis ohne Suche bereit. Der Prüfer ruft an, der Nachweis liegt bereit. Wichtig ist die saubere Abgrenzung zur Geschäftsführung: Der externe QMB plant, dokumentiert und berichtet, die Entscheidung über Maßnahmen und Ressourcen bleibt bei der obersten Leitung. Diese Abgrenzung steht in der Bestellurkunde und wird im Audit geprüft. Gleiches gilt für die Berichtsfrequenz, üblich sind quartalsweise Reports plus jährliche Managementbewertung mit dokumentierter Tagesordnung und Beschlüssen. Ein gut geführter Quartalsbericht enthält fünf Pflichtelemente: Status des Auditprogramms, offene und geschlossene Maßnahmen mit Fristen, KPIs zur Prozessleistung, Lieferantenleistung und ein Ausblick auf die nächsten 90 Tage. Der externe QMB liefert diesen Bericht im Workspace, die Geschäftsführung bestätigt mit elektronischer Signatur. Diese Routine ist im Audit ein starker Nachweis für die Wirksamkeit des QM-Systems und reduziert Nachfragen erheblich.

Die Kostenfrage entscheidet im Mittelstand häufig über das Bestellmodell. Eine interne QMB-Stelle in Vollzeit kostet bei Bruttojahresgehalt von 65.000 bis 85.000 Euro plus Lohnnebenkosten, Schulungen und Auditorenausbildung zwischen 95.000 und 120.000 Euro jährlich. Eine Teilzeitlösung mit 0,3 FTE liegt bei 30.000 bis 40.000 Euro, lässt aber Audit-Spitzen unbearbeitet, weil die Stunden im Wochenrhythmus verteilt sind statt im Auditzyklus. Externe Mandate werden überwiegend in drei Modellen angeboten: Pauschalvertrag mit fester Monatsrate, Stundenkontingent oder kombiniertes Retainer-Modell mit Grundpauschale und Audit-Add-on.

Marktüblich sind im Pauschalmodell 1.200 bis 2.500 Euro pro Monat für mittelständische Unternehmen mit einem Standort, einem Managementsystem und planbarem Auditzyklus. Stundenkontingente bewegen sich zwischen 140 und 220 Euro netto, je nach Qualifikation und Branche. Die Bandbreite ist groß, weil Anbieter unterschiedlich abrechnen: manche schließen interne Audits ein, andere stellen sie separat, wieder andere rechnen Reisezeiten und Audit-Vorbereitung extra. CIVAC arbeitet im Officer-as-a-Service-Modell mit einem Pauschalvertrag, der Bestellurkunde, Berichtslinie, Workspace-Zugang, 490 Audit-Vorlagen und das jährliche interne Audit einschließt. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die SLA für die Bestellung liegt bei 2 Werktagen statt der branchenüblichen 2 bis 6 Wochen. Damit ist das Mandat planbar bevor der nächste Auditzyklus beginnt. Bei Multi-Standort-Mandaten staffelt CIVAC nach Anzahl der einbezogenen Standorte und nach Integrationsgrad mit ISMS oder UMS, üblich sind 30 Prozent Aufschlag für den zweiten Standort und 20 Prozent für jeden weiteren. Diese Staffelung ist im Vertrag transparent ausgewiesen, sodass die Kostenentwicklung über die drei Jahre des Zertifizierungszyklus planbar bleibt.

Die Bestellurkunde ist das Kerndokument jeder QMB-Beauftragung. Sie enthält Name und Funktion der bestellten Person, Datum der Bestellung, Geltungsbereich (Standort, Managementsystem, Geschäftsbereiche), Pflichtenkatalog mit Verweis auf ISO 9001:2015 Abschnitte 5.3, 7.1.6, 9.2, 9.3, 10.1, 10.2, Befugnisse, Berichtslinie und Unterschrift der obersten Leitung. Ohne diese Urkunde fehlt im Audit der Nachweis, dass die Verantwortung zugewiesen und kommuniziert ist. Auditoren bewerten fehlende Bestellurkunden in Stage-2 regelmäßig als Hauptabweichung.

Die Berichtslinie führt direkt zur obersten Leitung, nicht über Abteilungsleiter oder Bereichsverantwortliche. Diese Direktanbindung schützt vor Interessenkonflikten, wenn der QMB Abweichungen meldet, die die Produktion betreffen. In der Stellenbeschreibung werden die Aufgaben weiter heruntergebrochen, ergänzt um Berichtsformate, Frequenzen und Eskalationspfade. CIVAC stellt diese drei Dokumente als Vorlagen im Workspace bereit, sie sind nach ISO 9001:2015 und ergänzend nach ISO/IEC 27001:2022 strukturiert, falls ein integriertes Managementsystem besteht. Bei der externen Bestellung wird die Urkunde innerhalb von 2 Werktagen erstellt, durch die Geschäftsführung gegengezeichnet und im Workspace abgelegt. Audit-fest, dokumentiert, ISO-9001-fest. Falls das Unternehmen über mehrere Standorte verfügt, regelt die Urkunde den Geltungsbereich, üblich ist eine Konzern-QMB-Bestellung mit Standort-Verantwortlichen, die an den zentralen QMB berichten. Diese Struktur lässt sich im Workspace mit Rollen- und Rechtekonzept abbilden, das auch den Wechsel des externen Beauftragten ohne Datenverlust ermöglicht. Ergänzend zur Bestellurkunde dokumentiert eine Übergabevereinbarung, was am Tag der Mandatsübernahme im Workspace liegen muss: aktuelle Version des QM-Handbuchs, offenes Auditprogramm, Maßnahmenliste, letzte Managementbewertung, Lieferantenliste mit Risikoeinstufung und Reklamationsregister der letzten zwölf Monate. Diese Übergabe wird schriftlich bestätigt und im Workspace archiviert, sodass spätere Audits den lückenlosen Übergang nachvollziehen können. Die Übergabevereinbarung enthält zusätzlich eine Geheimhaltungsklausel, eine Klausel zur Datenrückgabe bei Mandatsende und eine Regelung zur Aufbewahrungsdauer der Audit-Nachweise von mindestens zehn Jahren gemäß handelsrechtlicher Aufbewahrungspflicht.

Stage-1-Audits prüfen die Dokumentenlage und die Bereitschaft des QM-Systems für das eigentliche Zertifizierungsaudit. Der externe Auditor erwartet üblicherweise zwölf Dokumentengruppen: QM-Handbuch oder Prozesslandkarte, Kontextanalyse nach 4.1, interessierte Parteien nach 4.2, Geltungsbereich nach 4.3, Risiken und Chancen nach 6.1, Qualitätspolitik und Qualitätsziele nach 5.2 und 6.2, Rollen und Verantwortlichkeiten nach 5.3, dokumentierte Information nach 7.5, Auditprogramm nach 9.2, Managementbewertung nach 9.3 sowie Nachweise zu Korrekturmaßnahmen und Schulungsnachweisen.

Ein interner QMB sammelt diese Dokumente meist erst kurz vor dem Audit zusammen, was zu Inkonsistenzen führt: Versionsstände passen nicht, Daten widersprechen sich, Verantwortliche sind nicht namentlich genannt. Der externe Qualitätsmanagementbeauftragte arbeitet nach dem Stage-1-Katalog kontinuierlich, weil ihm das Schema vertraut ist. Im CIVAC-Workspace sind die zwölf Dokumentengruppen als Sektionen vorstrukturiert, jede Vorlage trägt Versionskennung, Revisionsdatum und Verantwortliche. Auditfragen lassen sich mit zwei Klicks zum Nachweis verlinken. Im Stage-2-Audit prüft der Auditor stichprobenweise die Wirksamkeit der dokumentierten Prozesse vor Ort. Hier liefert der externe QMB die Brücke zwischen Dokumentation und Praxis. Vorbereitung auf Stage-2 umfasst Mitarbeitergespräche, Walk-throughs durch die Produktion und die Sicherstellung, dass operative Mitarbeiter die für ihre Tätigkeit relevanten Verfahrensanweisungen kennen und anwenden. CIVAC liefert Walk-through-Checklisten und Interviewleitfäden als Teil der 490 Audit-Vorlagen. Ergänzend ist eine Probe-Audit-Sitzung üblich, in der der externe QMB die kritischen Bereiche zwei Wochen vor dem offiziellen Stage-2 abgeht und Schwachstellen markiert. Diese Probe hat sich in der Praxis bewährt, weil sie Mitarbeiter mit der Audit-Situation vertraut macht und letzte Dokumentenlücken sichtbar werden, bevor der Zertifizierer eintrifft. Die Ergebnisse der Probe werden im Workspace dokumentiert und mit der Geschäftsführung in einem 30-minütigen Vor-Audit-Briefing besprochen.

Viele mittelständische Unternehmen betreiben heute integrierte Managementsysteme, also QMS nach ISO 9001 plus ISMS nach ISO/IEC 27001:2022 plus UMS nach ISO 14001. Die High-Level-Structure aller ISO-Managementsystemnormen erlaubt es, die Pflichten von QMB, ISB und Umweltbeauftragtem in einem gemeinsamen Dokumentensystem zu führen. Das spart Aufwand, erhöht aber den Anspruch an Rollenklarheit, weil jede Norm eigene Pflichten und Sanktionsfolgen hat.

Der externe QMB bleibt für das QMS verantwortlich, kann aber im integrierten System Schnittstellen zum Informationssicherheitsbeauftragten und zum Umweltbeauftragten dokumentieren. Praktisch bedeutet das: gemeinsames Auditprogramm, gemeinsame Managementbewertung mit getrennten Agenda-Punkten, gemeinsamer Risikoregister mit normspezifischer Markierung. Die jeweiligen Bestellurkunden bleiben getrennt, der Workspace bündelt sie. CIVAC unterstützt diese Mehrfach-Mandatierung durch ein Rollenkonzept, in dem ein Officer mehrere Mandate halten kann, sofern Qualifikation und Kapazität gegeben sind. Häufiger ist die Konstellation mit unterschiedlichen externen Beauftragten, die im gemeinsamen Workspace arbeiten. Die 93 Controls nach ISO/IEC 27001:2022 lassen sich mit den QM-Prozessen mappen, etwa Dokumentenlenkung, Kompetenzmanagement, Lieferantensteuerung. Die Mapping-Tabelle ist im CIVAC-Workspace hinterlegt und wird im Audit als integrierter Nachweis akzeptiert. Wer das integrierte System sauber aufsetzt, reduziert die Auditdauer um 20 bis 30 Prozent und vermeidet redundante Dokumentation. Die Bestellung der Beauftragten erfolgt simultan, mit einer Bestellurkunde je Mandat und gemeinsamer Berichtslinie zur Geschäftsführung. Ein integriertes Auditprogramm legt fest, welche Prozesse einmal jährlich aus QM-Sicht, einmal aus ISMS-Sicht und einmal aus Umwelt-Sicht auditiert werden, ohne die operative Belastung der Fachbereiche zu verdreifachen. Diese Bündelung ist im CIVAC-Workspace standardmäßig vorgesehen und reduziert die Anzahl der Audit-Interviews um bis zu 40 Prozent gegenüber drei getrennten Auditprogrammen.

Sechs Fehler tauchen in externen QMB-Mandaten regelmäßig auf. Erstens, die Bestellurkunde wird mündlich vereinbart und nie unterschrieben. Im Audit fehlt der Nachweis, der Auditor stuft die Verantwortungszuweisung als nicht umgesetzt ein. Zweitens, die Berichtslinie führt zur Qualitätsleitung statt zur Geschäftsführung. Damit ist die Unabhängigkeit nach 9.2.2 c nicht gewährleistet, Stage-2 erzeugt eine Hauptabweichung, die Zertifikatsausstellung wird verzögert oder mit Auflagen versehen.

Drittens, der externe QMB übernimmt operative Aufgaben aus der Produktion und prüft sie gleichzeitig im Audit. Diese Rollenvermischung disqualifiziert ihn als interner Auditor, der externe Auditor moniert Befangenheit. Viertens, die Dokumentation liegt im persönlichen E-Mail-Postfach oder auf einem Einzel-Laptop, nicht im Unternehmenssystem. Bei Wechsel des externen Beauftragten geht Wissen verloren, im schlimmsten Fall sind Audit-Nachweise nicht mehr auffindbar. Fünftens, die Vertragslaufzeit ist kürzer als der Auditzyklus. Ein dreijähriger Zertifizierungszyklus erfordert mindestens einen entsprechend langen Vertrag oder klare Übergaberegeln zwischen externen Mandatsträgern. Sechstens, der externe QMB ist Berater ohne formale Bestellung. Beratung allein erfüllt die ISO-Anforderung nicht, die namentliche Bestellung mit Pflichten und Befugnissen ist konstitutiv. CIVAC vermeidet diese Fallen über standardisierte Bestellurkunden, eine Berichtslinie zur Geschäftsführung, klare Trennung von Beratung und Mandat, einen Workspace mit EU-Datenresidenz statt persönlicher E-Mail-Ablage und Verträge, die den vollen Zertifizierungszyklus abdecken. Bei jedem Mandatsbeginn wird eine Eröffnungs-Checkliste durchlaufen, die alle sechs Fallen abprüft und dokumentiert. Eine siebte, häufig übersehene Falle ist die unzureichende Versicherungsdeckung des externen QMB. Berufshaftpflichten mit Deckungssummen unter 1 Million Euro reichen für Audit-Folgeschäden im Mittelstand selten aus. CIVAC weist die Deckungssumme bei Mandatsbeginn nach und aktualisiert die Bestätigung jährlich.

Wenn Sie im Mittelstand einen externen Qualitätsmanagementbeauftragten suchen, kommt es weniger auf das richtige Stundenmodell an als auf die Frage, ob die operative Infrastruktur dahinter trägt. Ein externer QMB ohne Workspace, ohne Audit-Vorlagen, ohne EU-Datenresidenz erzeugt im Audit dieselben Lücken wie ein interner QMB ohne Routine. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service, die beides verbindet: die namentliche Bestellung eines externen QMB innerhalb von 2 Werktagen und einen Workspace, in dem Bestellurkunde, Berichtslinie, 490 Audit-Vorlagen und die Berichtshistorie auditfest abgelegt sind.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zum gleichen Audit-Ergebnis, der Unterschied liegt in Kapazität und Qualifikation Ihrer eigenen Mannschaft. Wir empfehlen ein 30-minütiges Bestellungsgespräch, in dem wir den Geltungsbereich, den Auditzyklus, das Integrationsniveau mit ISMS oder UMS und die Berichtsfrequenz festlegen. Anschließend erstellt CIVAC Bestellurkunde, Stellenbeschreibung und Berichtslinie, die Geschäftsführung zeichnet gegen, das Mandat startet. Aus dem Lesen einen Auftrag machen. Kontakt: info@civac.de oder das Kontaktformular auf civac.de. Die ersten Audit-Vorlagen liegen am Tag der Bestellung im Workspace bereit, das interne Audit-Programm wird im ersten Monat aufgesetzt, die Managementbewertung wird mit der Geschäftsführung terminiert. Bestellurkunde, unterschrieben, abgelegt, belegbar. Innerhalb der ersten 90 Tage erhalten Sie einen vollständigen Statusbericht zum Reifegrad Ihres QM-Systems, eine priorisierte Maßnahmenliste und einen Audit-Plan, der zum nächsten externen Zertifizierungstermin passt. Diese drei Artefakte sind die Grundlage, auf der das Mandat dann über den vollen Zertifizierungszyklus reibungsfrei läuft. Wir empfehlen, das Bestellungsgespräch spätestens drei Monate vor dem nächsten Überwachungs- oder Zertifizierungsaudit anzusetzen, damit die ersten Audit-Vorbereitungen ohne Zeitdruck durchgeführt werden können.