Problemstellung
Spätestens seit der Revision der Qualitätsmanagementsystem-Normenreihe ISO DIN EN 9000 im Jahre 2000 sind die Begriffe „Prozess” und „Prozessorientierung” zu einem festen Bestandteil des Managementvokabulars in Industrie und Dienstleistungsunternehmen geworden. Die ISO 9001 hat mit ihrem prozessorientierten Ansatz einen entscheidenden Impuls hierfür gegeben. Sie macht allerdings nur sehr allgemeine Aussagen dazu, was unter einem Prozess zu verstehen ist, wie Prozesse im Unternehmen strukturiert, dargestellt und dokumentiert werden sollen.

Dies hat zur Folge, dass eine Vielzahl von Prozessbegriffen mit den unterschiedlichsten Definitionen und Inhalten entstanden ist. So werden z. B. die Begriffe „Geschäftsprozess”, „Hauptprozess”, „Kernprozess” oder „Schlüsselprozess” einerseits völlig unterschiedlich interpretiert, andererseits aber auch synonym verwendet.

Was ist ein Prozess?
Einige grundsätzliche Fragen sind daher:

ISO 9001 und IS0.27001
Die für das Security Management bestehende Norm ISO/IEC 27001 „Information technology – Security techniques – Information security – management systems – Requirements” ist in ihrer Struktur und in ihrem Inhalt der Norm ISO 9001 sehr ähnlich. Auch das Verständnis des Prozessbegriffes ist in beiden Normen identisch. Informationssicherheit ist kein statischer Zustand, sondern das kontinuierliche Ergebnis von festgelegten und gelebten Prozessen, die dem Regelkreis „Plan-Do-Check-Act” (PDCA) unterworfen sind.

ISO 9001:2000
Die ISO 9000 definiert Prozess wie folgt: „Satz zusammenhängender oder sich gegenseitig beeinflussender Tätigkeiten, der Eingaben zum Erzielen”

DGQ
Eine ähnliche Definition bietet die Deutsche Gesellschaft für Qualität (DGQ) an:

„Gesamtheit der Tätigkeiten, die sich gegenseitig bedingen oder beeinflussen und unter Verwendung von Ressourcen Eingaben in Ergebnisse umwandeln”.

Produkt
Auch der Begriff „Produkt” wird in beiden Systemen/Normen nicht unterschiedlich behandelt. Schließlich ist das Ergebnis einer Dienstleistung oder Tätigkeit nichts anderes als ein Produkt, auch wenn es nicht im konventionellen Sinn etwas „zum Anfassen” ist.

Prozess ist hier ganz allgemein definiert und kann nach DGQ in folgende spezielle Prozesse unterteilt werden:

Geschäftsprozess wird hierbei definiert als „Prozess, der auf den dauerhaften Erfolg der Organisation ausgerichtet ist”.

Die Prozesse in einem Unternehmen, die Geschäftsprozesse, werden häufig wie folgt gegliedert – siehe auch Abbildung 1:

Diese Prozesse bestehen jeweils aus

Schlüsselprozesse
Die für den Unternehmenserfolg wichtigsten Prozesse werden vielfach als „Schlüsselprozesse” bezeichnet. Diese Prozesse erfordern die besondere Aufmerksamkeit des Managements.

Weitere/ synonyme Begriffe
Neben den genannten Begriffen gibt es eine ganze Reihe anderer Begriffe, die synonym verwendet werden – siehe Abbildung 2.

Da für diese Prozessbegriffe keine Norm existiert, werden die Begriffe sowohl in der Praxis als auch in der Literatur sehr unterschiedlich verwendet. In diesem Beitrag wird die Strukturierung nach Abbildung 1 verwendet.

Im Verständnis der ISO/IEC 27001 ist das Information security management system (ISMS) Teil des umfassenden Managementsystems. Es basiert auf Verfahren zur Risikobetrachtung des Geschäftsbetriebs. Damit wird die Informationssicherheit etabliert, eingeführt, gearbeitet, überwacht, geprüft, aufrechterhalten und verbessert. Im Managementsystem schaffen die Managementprozesse die Voraussetzungen und Rahmenbedingungen für die übrigen Prozesse, insbesondere die Kernprozesse.

IT-Prozesse als unterstützende Prozesse
Die Prozesse der Informationssicherheit (im Sinne der ISO 27001) werden in Organisationen, für welche die Informationstechnik (IT) lediglich ein indirektes Mittel zur Erfüllung ihrer Unternehmenszwecke ist, in der Regel keine Kernprozesse darstellen. Dennoch sind die IT-Prozesse auch für derartige Unternehmen von hoher Bedeutung, wenn sie in erheblichem Maße von einer funktionsfähigen, verfügbaren und sicheren IT abhängig sind. Ausfälle von wenigen Stunden oder Tagen können Unternehmen in den kurzfristigen Ruin führen. IT-Prozesse werden in solchen Unternehmen partiell zu den Managementprozessen und insbesondere zu den unterstützenden Prozessen gehören.

Einige Beispiele für Managementprozesse sind:

Prozesswelt der IT-Industrie
In Unternehmen, die IT-Dienstleistungen als Unternehmenszweck für Dritte erbringen (Rechenzentren, Application Service Provider, Telekommunikations-Diensteanbieter, System- und Softwarehäuser, …) und/oder IT-Produkte vertreiben, werden sich die Prozesse der Informationssicherheit verstärkt sowohl in den Management- als auch umfassend in den Kernprozessen wiederfinden.

Definition
Kernprozesse sind solche Prozesse im Unternehmen, die eine Wertschöpfung beinhalten und damit direkt oder indirekt zur Erfüllung von Kundenanforderungen beitragen.

Beispiele Kernprozesse „Produktionsbetrieb”
Kernprozesse in einem produzierenden Unternehmen sind z. B.:

Beispiele für Kernprozesse „Dienstleistungs-Betrieb”
In einer Dienstleistungsorganisation, z. B. einem Beratungsunternehmen, können sich die Kernprozesse beziehen auf

Beispiele Kernprozesse „IT-Unternehmen”
In Unternehmen der Informationstechnologie sind typische Kernprozesse:

Unterstützende Prozesse liefern im Gegensatz zu den Kernprozessen keine direkte Wertschöpfung. Gleichwohl sind sie für einen effektiven und zuverlässigen Ablauf der Management- und Kernprozesse unerlässlich.

Beispiele unterstützende Prozesse
Einige Beispiele für unterstützende Prozesse sind:

Schlüsselprozesse
Je nach Branche, Markt-, Finanz- und/oder Personalsituation können die Schlüsselprozesse von Unternehmen zu Unternehmen unterschiedlich sein. Auch innerhalb eines Unternehmens unterliegen die Schlüsselprozesse eventuell einem Wandel, so kann z. B. die Personalentwicklung zu einem entscheidenden Faktor und damit zu einem Schlüsselprozess werden, wenn ein Mangel an qualifiziertem Personal herrscht, der die Unternehmensentwicklung beeinträchtigt.