Compliance im Maschinenbau: Beispiel Bauer-Gruppe

Wolfermann: Unser Geschäftsführer Klaus Bauer ist sehr EDV-affin und ein starker ECM-Befürworter: Drei Gründe haben ihn bewogen, das ECM-Projekt schnell auf die Tagesordnung zu setzen. Erstens wollte er die Papierberge loswerden, zweitens die Abläufe beschleunigen und drittens ein System einführen, das es ermöglicht, der Revisionspflicht gerecht zu werden. Wir haben uns für die OS.5 ECM-Lösung von Optimal Systems entschieden: Vor allem der Support von Optimal Systems hat uns überzeugt.

Wolfermann: Das größte Hindernis bei der Einführung war die Stabilität des ERP-Systems. Unsere Produktion wird komplett elektronisch gesteuert und nach heutiger Gesetzeslage werden jetzt alle Prozessschritte dokumentiert. Deshalb war uns die Anbindung an das ERP-System Navision sehr wichtig. Navision ist bei uns die geschäftskritische Anwendung. Die darf nicht eine Stunde ausfallen. Hinzu kommt, dass bei uns drei verschiedene Navision-Lösungen im Einsatz sind – das verkraftet nur ein starkes DMS-System. Rechtlich gesehen war und ist die Umsetzung der gesetzlichen Anforderungen nicht immer leicht. Unsere Geschäftsprozesse – das Qualitäts- und Haftungsmanagement oder die Fertigungsprozesse – unterliegen klaren Standards, Gesetzen und Normen. Wir sind deshalb dabei, unsere bestehende ISO-Zertifizierung 9001 zu erweitern und wir wollen das System vom TÜV abnehmen lassen.

Wolfermann: Nach einer umfangreichen Internetrecherche haben wir die IHK befragt und einen Wirtschaftsprüfer hinzugezogen. Im Juli lassen wir die Lösung vom TÜV abnehmen – aber wir sind heute noch nicht ganz sicher, welche Regeln wofür gelten oder gelten sollten. Ich bin aber sehr optimistisch.

Wolfermann: Wir haben strenge Qualitätsstandards und einen Wirtschaftsprüfer sowie den TÜV-Verantwortlichen direkt im Haus. Das bedeutet, dass bei uns eine Rechnung von beiden abgezeichnet werden muss. Ist dieses Verfahren schon GDPdU-relevant oder nicht? Natürlich wissen wir, dass Rechnungen in der Regel zehn Jahre zu archivieren sind und Personalakten 30 Jahre. Aber wie sieht es zum Beispiel mit Dokumenten aus, die im Haftungsfall notwendig werden? Wann ist eine E-Mail geschäftskritisch?

Wolfermann: Ja: Ein Kunde schickt uns eine E-Mail mit der Frage, was ein Prototyp kostet. Unser Vertrieb fragt zurück, wie der Prototyp aussehen soll. Der Kunde schickt Zeichnungen. Die können wir nicht lesen. Also schicken wir eine E-Mail mit der Bitte, doch andere Formate zu schicken. Schließlich erstellen wir ein Angebot. Der Controller des Kunden will den Prototypen zu einem günstigeren Preis. Wir verhandeln per E-Mail. Einige E-Mails mit Preisangaben werden hin und her geschickt, bis wir uns geeinigt haben. Ein Jahr später: Inzwischen ist der Kunde einer unserer wichtigsten Auftraggeber: Wir fertigen für ihn in Serie. Design und Material haben sich geändert. Neue Konstruktionszeichnungen sind ebenfalls erstellt. Welche der genannten E-Mails müssen nun archiviert werden? Alle, oder reicht es, nur die Ursprungsbestellung revisionssicher zu archivieren? Was passiert, wenn eine Bestellung geändert wird? Und was heißt »unveränderbar gespeichert« tatsächlich? Wie sieht es mit einer Verlängerung der Aufbewahrungszeiten aus? Sollte man möglichst viel archivieren oder genügen nur die betriebswirtschaftlich relevanten Informationen – wann ist etwa eine E-Mail relevant?

Wolfermann: Wir haben zunächst die Entscheidungskompetenz an den zuständigen Mitarbeiter übertragen. Er muss entscheiden, was geschäftsrelevant ist und daher archiviert werden muss.

Wolfermann: Gut ist es, wenn bereits eine ISO-Zertifizierung vorliegt, weil man dann bereits organisatorische Fragen geklärt hat. Zunächst sollte die Unternehmensstruktur klar sein. Die Unternehmensprozesse sollten klar strukturiert und möglichst gut dokumentiert sein. Darüber hinaus muss der Fluss der Dokumente im Unternehmen eindeutig geregelt sein, ebenso die Zugriffsrechte auf die Dokumente. Am Anfang mag die Einschätzung oft schwierig erscheinen, wie viele unterschiedliche Dokumenttypen wirklich ins Archiv müssen. Jede Abteilung geht anders mit IT um und immer wieder kommen neue Dokumente hinzu. Wenn der Fluss der Dokumente geklärt ist, lassen sie sich viel leichter auch elektronisch abbilden und die richtigen Indexdaten dazu anlegen. Zweitens sollte man daran denken, dass ein DMS allein nicht reicht. Auch die Hardware sollte man hochrüsten, denn schließlich arbeitet man mit eingescannten Dokumenten ja fast immer mit Bildern. Da wird der Computer schnell müde.