SIs zum IATF 16949-Standard
IATF 16949:2016 – Sanktionierte Interpretationen (SIs)

Der Qualitätsmanagementsystem-Standard der Automobilindustrie, IATF 16949 (Erste Ausgabe) wurde im Oktober 2016 veröffentlicht und trat am 1. Januar 2017 in Kraft.

Die folgenden Sanktionierten Interpretationen wurden durch die IATF freigegeben und veröffentlicht. Sofern nicht anders angegeben, gelten diese Sanktionierten Interpretationen ab dem Zeitpunkt ihrer jeweiligen Veröffentlichung.

Der überarbeitete Text wird in blau dargestellt.

Eine Sanktionierte Interpretation (SI) ändert die Auslegung einer Regel oder Anforderung und wird somit Grundlage für eine Abweichung.

Die SIs Nr. 1 bis 9 wurden im Oktober 2017 veröffentlicht und sind verbindlich ab Oktober 2017 anzuwenden.
Die SIs Nr. 10 bis 11 wurden im April 2018 veröffentlicht und sind verbindlich ab Juni 2018 anzuwenden.
Die SI Nr. 8 wurde überarbeitet, im Juni 2018 erneut veröffentlicht und ist verbindlich ab Juli 2018 anzuwenden.
Die SI Nr. 10 wurde überarbeitet, im Juni 2018 erneut veröffentlicht und ist verbindlich ab Juli 2018 anzuwenden.
Die SIs Nr. 12 und 13 wurden im Juni 2018 veröffentlicht und sind verbindlich ab Juli 2018 anzuwenden.
Die SIs Nr. 14 und 15 wurden im November 2018 veröffentlicht und sind verbindlich ab Januar 2019 anzuwenden.
Die SIs Nr. 16 und 18 wurden im Oktober 2019 veröffentlicht und sind verbindlich ab Januar 2020 anzuwenden.
Die SI Nr. 4 wurde überarbeitet, im August 2020 erneut veröffentlicht und ist verbindlich ab September 2020 anzuwenden.
Die SI Nr. 19 wurde im August 2020 veröffentlicht und ist verbindlich ab Oktober 2020 anzuwenden.
Die SI Nr. 20 wurde im Dezember 2020 veröffentlicht und ist verbindlich ab Januar 2021 anzuwenden.
Die SI Nr. 10 wurde im April 2021 überarbeitet und ist verbindlich ab Juni 2021 anzuwenden.
Die SI Nr. 3 wurde im Juli 2021 überarbeitet und ist verbindlich ab November 2021 anzuwenden.
Die SI Nr. 21-22 wurden im Juli 2021 veröffentlicht und sind verbindlich ab November 2021 anzuwenden.
Die SI Nr. 10 wurde im Juli 2021 überarbeitet und ist verbindlich ab August 2021 anzuwenden.
Die SIs Nr. 23 bis 25 wurden im Mai 2022 veröffentlicht und sind verbindlich ab Juni 2022 anzuwenden.

Nummer Regelverweis Sanktionierte Interpretation (SI)
21 6.1.2.1 Risikoanalyse

Die Organisation muss in ihrer Risikoanalyse zumindest die gewonnenen Erkenntnisse (engl.: lessons learned) aus:
a) Rückrufaktionen, Produktaudits, Feldbeanstandungen und Reparaturen, Reklamationen, Ausschuss und Nacharbeit einbeziehen,
b) Bedrohungen durch Cyberangriffe auf informationstechnische Systeme (IT-Systeme).

Die Organisation muss dokumentierte Informationen als Nachweis für die Ergebnisse der Risikoanalyse aufbewahren.

Begründung für diese Änderung:
Potenzielle Cyberangriffe stellen für alle zertifizierten Organisationen ein Risiko dar, da in ihren IT-Systemen wichtige und wertvolle Informationen gespeichert sind. Organisationen müssen potenzielle Cyberangriffe in ihrer Risikoanalyse berücksichtigen.

17 6.1.2.3 Notfallpläne

Die Organisation muss:
a) – d) (…)
e) die Notfallpläne regelmäßig auf Wirksamkeit prüfen (z. B. Simulationen, soweit angemessen);
Cybersicherheitstests können die Simulation von Cyberangriffen, die regelmäßige Überprüfung auf bestimmte Bedrohungen, das Identifizieren von Abhängigkeiten und die Priorisierung von Sicherheitsschwachstellen umfassen. Das Testen ist an das Risiko damit verbundener Kundenstörungen angepasst;
Hinweis: Die Cybersicherheitstests können entweder intern von der Organisation selbst oder – wenn zweckdienlich – durch externe Dienstleister durchgeführt werden.

Begründung für diese Änderung:
Kombiniert mit SI 3, da für diese die gleiche IATF 16949 Anforderung gilt

03 - überarbeitet 6.1.2.3 Notfallpläne

Die Organisation muss:
a) – b) (…)
c) Notfallpläne erstellen, um die Teileversorgung auch im Falle einer nicht nur auf die folgenden Ereignisse beschränkten Situation3 aufrechtzuerhalten: Ausfall von wesentlichen Produktionseinrichtungen (siehe auch Abschnitt 8.5.6.1.1), Lieferunterbrechung extern bereitgestellter Produkte, Prozesse und Dienstleistungen, wiederkehrende Naturkatastrophen, Feuer, Pandemien3,Unterbrechungen der Versorgungssysteme, Cyber-Angriffe auf informationstechnische Systeme (IT-Systeme)1, Arbeitskräftemangel oder Störungen der Infrastruktur,
d) als Ergänzung zu den Notfallplänen einen Benachrichtigungsprozess an den Kunden und andere interessierte Parteien einrichten, der das Ausmaß und die Dauer von Situationen beinhaltet, die eine Auswirkung auf den Geschäftsbetrieb der Kunden haben,
e) die Notfallpläne regelmäßig auf Wirksamkeit prüfen (z. B. Simulationen, soweit angemessen); für die Cybersicherheit3: Das Testen kann die Simulation eines Cyberangriffs, die regelmäßige Überwachung auf spezifische Bedrohungen, die Identifizierung von Abhängigkeiten und die Priorisierung von Schwachstellen umfassen. Die Tests müssen dem Risiko der damit verbundenen Kundenunterbrechung angemessen sein; Hinweis: Cybersicherheits-Tests können intern von der Organisation verwaltet oder gegebenenfalls an Unterauftragnehmer vergeben werden2,
f) Notfallpläne (mindestens jährlich) durch ein multidisziplinäres Team bewerten, einschließlich der obersten Leitung, und aktualisieren, sofern notwendig,
g) die Notfallpläne dokumentieren und dokumentierte Informationen zu Änderungen aufbewahren, einschließlich der Personen, die diese Änderungen veranlasst haben,
h) in den Notfallplänen die Entwicklung und Umsetzung geeigneter Mitarbeiterschulungen und Sensibilisierung vorsehen3

Die Notfallpläne müssen Vorkehrungen beinhalten, die sicherstellen, dass das hergestellte Produkt nach einem Notfall, in dem die Produktion gestoppt wurde und die regulären Abschaltprozesse nicht eingehalten wurden, nach dem Wiederanlaufen der Produktion weiterhin die Kundenspezifikationen erfüllt.

Begründung(en) für diese vorgenannte(n) Änderung(en):
1 Organisationen müssen sich mit der Möglichkeit von Cyberangriffen/Onlineattacken befassen, die dazu führen könnten, dass die Herstellungsprozesse und Logistikabläufe blockiert werden. Dies schließt auch sog. „Ransomware“ mit ein. Organisationen müssen sicherstellen, dass sie auf Cyberangriffe/Onlineattacke vorbereitet sind.
2 Der SI 17 entnommen und zu einer SI für diese IATF 16949 Anforderung zusammengefasst. Cybersicherheit stellt für alle Produktionsanlagen und -einrichtungen ein zunehmendes Risiko hinsichtlich der Aufrechterhaltung aller Fertigungseinrichtungen dar – einschließlich der Automobilindustrie. Das Prüfen der Notfallpläne auf ihre Wirksamkeit wurde darüber hinaus von den Organisationen und Zertifizierungsgesellschaften als ein Bereich identifiziert, der einer Klärung bedurfte. Diese Aktualisierung liefert nun die Details, was im Rahmen der Validierung eines Cyberangriff-Notfallplans getestet werden muss.
3 Kleinere Klarstellungen, einschließlich der Aufnahme von Pandemien in Situationen die Notfallpläne erfordern. Ebenfalls eingeflossen ist die Erkenntnis, dass das Wissen der Mitarbeiter ein wichtiger Schritt für einen effektiven Notfallplan ist.

Suchen Webshop info@vda-qmc.de